L’affaire du « Jia Tan », maître d’œuvre de la porte dérobée XZ, soulève une vague d’interrogations au sein de la communauté de la cybersécurité et des logiciels open source. Cet incident, mis en lumière suite à une découverte fortuite par un ingénieur de Microsoft, révèle une attaque contre la chaîne d’approvisionnement logicielle de XZ Utils, une utilité de compression intégrée dans de nombreuses distributions Linux populaires. Cette attaque, qui a failli compromettre des millions de systèmes à travers le monde, a été soigneusement orchestrée pendant des années, suggérant l’implication de pirates informatiques parrainés par des États-nations.
Le modus operandi de Jia Tan, exploitant la méthode collaborative du logiciel open source pour insérer discrètement un code malveillant, témoigne d’une patience et d’une sophistication alarmantes. L’opération minutieusement planifiée a conduit à l’intégration du code de Jia Tan dans XZ Utils, marquant un contrôle croissant sur le projet. Cette persévérance, associée aux caractéristiques techniques du backdoor, pointe vers l’œuvre de hackers soutenus par des États.
La discrétion opérationnelle de Jia Tan, caractérisée par une absence totale de traces numériques en dehors de ses contributions open source, soulève des doutes sur l’existence réelle de cette personne, voire sur l’hypothèse qu’il s’agisse d’un collectif plutôt que d’un individu. Les spécificités techniques du backdoor XZ Utils, ainsi que les choix cryptographiques, orientent les suspicions vers des acteurs étatiques non-américains, avec une attention particulière sur des groupes comme APT41 de Chine, Lazarus Group de Corée du Nord, et APT29 de Russie, ce dernier étant connu pour ses attaques précises et sophistiquées contre la chaîne d’approvisionnement logicielle.
Malgré les efforts de dissimulation, certains éléments, tels que les fuseaux horaires des commits et les habitudes de travail, suggèrent une origine potentielle hors de Chine, peut-être même en Europe de l’Est ou au Moyen-Orient, bien que des incohérences subsistent, soulignant la complexité de l’attribution dans le cyberespace. Cette affaire, loin d’être isolée, illustre une menace croissante pour la sécurité des chaînes d’approvisionnement logicielles, mettant en évidence la nécessité pour la communauté de cybersécurité de rester vigilante face à des tactiques de plus en plus sophistiquées et dissimulées.
L’énigme de Jia Tan, loin d’être résolue, ouvre un nouveau chapitre dans l’histoire des attaques contre la chaîne d’approvisionnement logicielle, rappelant que derrière chaque ligne de code, la menace d’une intention cachée peut se profiler, exigeant une surveillance et une analyse constante pour déjouer les stratégies élaborées par des adversaires déterminés à exploiter la confiance et la collaboration qui forment le pilier du monde open source.
