L’armée allemande remet ses drones en vol après une cyberattaque sur la chaîne logicielle

L’armée de l’air allemande a levé le gel précautionneux qui immobilisait sa flotte de drones Quantum Systems, une semaine après la découverte d’un code malveillant glissé dans une mise à jour du logiciel de contrôle au sol QBase. L’incident, survenu fin octobre, illustre la vulnérabilité des chaînes d’approvisionnement logicielles dans le secteur de la défense, où un unique composant compromis peut atteindre des systèmes classifiés.

D’après les informations rapportées par The Register et BleepingComputer, l’intrusion a été détectée par les équipes de Quantum Systems elles-mêmes, qui ont immédiatement alerté les autorités allemandes. Le code malveillant se trouvait dans une mise à jour légitime de QBase, l’application qui permet aux opérateurs de planifier les missions, de suivre les vols en temps réel et de traiter les données récoltées par les drones. Cette mise à jour a été diffusée sur les serveurs de l’entreprise et, de là, a atteint les infrastructures de la Bundeswehr ainsi que d’autres clients.

L’analyse technique révèle que les drones eux-mêmes n’ont pas été infectés. Le logiciel malveillant ciblait la couche de contrôle au sol, ce qui aurait permis à un attaquant de surveiller les opérations, d’exfiltrer des données de mission ou, dans un scénario plus grave, d’injecter de fausses informations de navigation. Quantum Systems affirme avoir contenu la menace grâce à une réaction rapide de ses équipes de sécurité, en collaboration transparente avec les autorités. L’entreprise précise qu’aucun risque ne subsiste pour les utilisateurs finaux et les opérateurs.

Le Bundesministerium der Verteidigung s’est refusé à tout commentaire sur les détails techniques de l’attaque ni sur l’identité présumée des auteurs. Der Spiegel, citant des sources anonymes, avait révélé que la mise à jour piégée provenait bien des canaux de distribution officiels de Quantum Systems. L’entreprise, valorisée 8 milliards de dollars après une levée de fonds de 1,2 milliard en juillet, fournit des drones à l’Ukraine depuis plusieurs années. Le chancelier Friedrich Merz a annoncé le mois dernier le financement de plusieurs dizaines de milliers de drones intercepteurs supplémentaires, qui seront assemblés en Ukraine.

Cet épisode rappelle que la sécurité de la chaîne logicielle – software supply chain – n’est plus un sujet théorique. Les acteurs de la défense, comme l’ensemble de l’industrie critique, doivent durcir la signature des artefacts, la vérification d’intégrité à chaque étape du pipeline CI/CD et la surveillance continue des dépendances tierces. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et son homologue allemand, le BSI, publient régulièrement des guides sur le durcissement des pipelines DevSecOps ; cet incident en démontre l’urgence opérationnelle.

Sources : The Register, BleepingComputer

Sources : The Register, BleepingComputer