Piratage du DNC : quand deux ours russes partageaient un réseau

En juin 2016, le Washington Post rapporte que des hackers du gouvernement russe ont pénétré le réseau informatique du Democratic National Committee. La source du Post est CrowdStrike, la société de réponse à incident que le DNC a retenue après avoir remarqué des anomalies dans son réseau.

Deux ours, un réseau

CrowdStrike conclut que deux groupes APT distincts du renseignement russe opéraient dans l’environnement du DNC, sans se rencontrer la plupart du temps. Le premier, baptisé Cozy Bear et identifiée plus tard au service de renseignement extérieur russe, le SVR, était présente depuis l’été 2015. La seconde, Fancy Bear, attribuée à l’unité 26165 du renseignement militaire GRU, était arrivée au printemps 2016.

La posture du SVR semble être une collecte longue et discrète. Celle du GRU est différente. Dans les semaines qui suivent la divulgation publique, un persona jusque-là inconnu se présentant comme Guccifer 2.0 commence à publier des documents internes du DNC, suivi de publications massives sur DCLeaks et finalement WikiLeaks. Le calendrier, frappant le cycle médiatique de la présidentielle américaine de 2016, devient un trait permanent de cette campagne.

L’acte d’accusation

En juillet 2018, le procureur spécial américain Robert Mueller met en accusation douze officiers du GRU nommément pour l’opération, exposant le savoir-faire, l’infrastructure et des moments précis de blanchiment de documents via Guccifer 2.0 et WikiLeaks. Aucun n’a été extradé.

Ce que la chronique retient

Le piratage du DNC a fait entrer l’expression « opération d’information » dans le vocabulaire courant hors des cercles du renseignement. La compromission technique était banale ; le choix d’armer les données exfiltrées via des éditeurs d’apparence anonyme, sur un calendrier médiatique précis, était la véritable charge utile de l’opération.