Compromission de la chaîne d'approvisionnement SolarWinds SUNBURST (Cozy Bear)

En décembre 2020, le secteur de la cybersécurité a découvert qu'environ 18 000 clients de SolarWinds Orion — dont neuf agences fédérales américaines, de grandes entreprises technologiques et une longue liste d'organisations du Fortune 500 — s'étaient eux-mêmes distribué une porte dérobée conçue par un État via des mises à jour logicielles légitimes et signées pendant près d'un an. L'opération, baptisée SUNBURST par FireEye et SOLORIGATE par Microsoft, a été attribuée au SVR russe (service de renseignement extérieur) — l'unité connue publiquement sous le nom d'APT29 / Cozy Bear.

Elle demeure l'opération d'cyberespionnage étatique emblématique de la décennie.

Ce qui s'est passé

L'opération a débuté en septembre 2019, lorsque des opérateurs du SVR ont compromis l'environnement de compilation logicielle de SolarWinds, un éditeur de solutions de gestion informatique basé au Texas, dont le produit phare Orion est utilisé pour superviser les réseaux d'entreprise et gouvernementaux. Le vecteur d'accès initial n'a pas été confirmé publiquement ; le gouvernement américain a refusé de le préciser dans ses déclarations non classifiées.

La sophistication technique qui a suivi était inhabituelle :

1. SUNSPOT — un implant de serveur de compilation qui modifiait le code source d'Orion au moment de la compilation. Il attendait le démarrage du processus de compilation légitime, injectait le code malveillant, puis attendait la fin de la compilation avant de se supprimer. Résultat : le certificat de signature du serveur de compilation signait le code trojanisé comme s'il s'agissait d'Orion légitime. Aucune falsification ; aucune compromission de certificat ; simplement une mise à jour malveillante propre et légitimement signée.
2. SUNBURST — la porte dérobée injectée dans Orion. Après son installation chez un client, elle attendait 14 jours, puis émettait un signal de balise via DNS vers un sous-domaine aléatoire de avsvmcloud.com. Les opérateurs choisissaient les balises à activer ; chez la plupart des clients, SUNBURST restait indéfiniment en sommeil.
3. TEARDROP / RAINDROP — des implants de seconde étape livrés aux ~100 cibles de grande valeur sélectionnées parmi les 18 000 clients. Des opérations manuelles au clavier suivaient.

L'opération a été découverte par hasard. FireEye a détecté l'ajout non autorisé d'un second appareil à l'authentification multifacteur de l'un de ses employés, a enquêté, a découvert une intrusion plus profonde, et a révélé publiquement le 8 décembre 2020 que ses propres outils de red team avaient été dérobés. L'enquête a rattaché l'accès à Orion, puis à SolarWinds, puis à la mise à jour trojanisée.

Impact

Les intrusions fédérales confirmées publiquement comprenaient :

• Département américain du Trésor — messagerie et autres systèmes
• Département américain du Commerce (NTIA)
• Département d'État américain
• Département américain de la Sécurité intérieure (y compris la CISA elle-même)
• Département américain de l'Énergie (avec un accès rapporté à la NNSA, mais sans impact opérationnel)
• Département américain de la Justice
• Instituts nationaux américains de la santé
• Département américain de l'Agriculture

Les intrusions dans le secteur privé comprenaient Microsoft (accès au code source), Mimecast (compromission de certificat permettant l'usurpation de messagerie), FireEye (vol d'outils de red team), Malwarebytes, Qualys et bien d'autres — la liste complète n'a jamais été énumérée publiquement car, par conception, les victimes étaient déclenchées sélectivement et beaucoup n'ont jamais vu la charge utile de seconde étape.

Le coût financier direct est difficile à estimer. L'étude de 2022 du Government Accountability Office a recensé environ 10 milliards de dollars de réponse à incident, de reconstruction logicielle et de modernisation d'infrastructure fédérales américaines spécifiquement attribuables à SolarWinds. Les dépenses plus larges du secteur privé en matière de sécurité de la chaîne d'approvisionnement logicielle depuis SolarWinds sont estimées à plusieurs dizaines de milliards, réparties entre les mandats SBOM, les programmes d'attestation signée et les investissements dans les compilations reproductibles.

Attribution

Le 15 avril 2021, le gouvernement américain a officiellement attribué SolarWinds au SVR russe. L'administration Biden a imposé des sanctions au personnel du renseignement russe et expulsé des diplomates. Le Royaume-Uni et l'UE se sont joints à l'attribution.

Le groupe d'opérateurs — connu publiquement sous les noms d'APT29, Cozy Bear, NOBELIUM (Microsoft) et désormais Midnight Blizzard dans la taxonomie révisée de Microsoft — est resté continuellement actif. Le même acteur est à l'origine de la compromission de la messagerie d'entreprise de Microsoft en 2024, qui a permis d'accéder aux boîtes mail de cadres dirigeants et d'équipes de sécurité.

Pourquoi c'est important

SolarWinds constitue le cas canonique des attaques de la chaîne d'approvisionnement logicielle à échelle stratégique. Il a établi :

• Que la compromission d'un serveur de compilation peut produire des mises à jour malveillantes légitimement signées et indiscernables des authentiques — effondrant le modèle standard du « vérifier les signatures, faire confiance au code signé ».
• Que des temps de présence de plus de 12 mois sur des cibles stratégiques sont opérationnellement normaux pour des acteurs étatiques et effectivement impossibles à détecter avec des outils EDR/SIEM conventionnels.
• Que l'activation sélective — laisser les balises de 17 900 clients en sommeil tandis que seulement ~100 sont opérationnalisées — constitue une technique efficace pour cloisonner les opérations et réduire la détection.
• Qu'une seule divulgation de réponse à incident du secteur privé (FireEye) peut révéler une opération étatique de plusieurs mois ayant échappé à toutes les capacités de détection gouvernementales.

Les réponses politiques américaines ultérieures incluent le décret 14028 (mai 2021) imposant des améliorations de la sécurité de la chaîne d'approvisionnement logicielle, l'écosystème SSDF / SBOM désormais requis pour les marchés publics fédéraux américains, et la création de la Joint Cyber Defense Collaborative (JCDC) de la CISA pour coordonner la réponse à incident du secteur privé avec le gouvernement fédéral.