# Regin (logiciel malveillant)

Regin est un logiciel malveillant sophistiqué, découvert par Kaspersky Lab et Symantec, révélé en novembre 2014$^,$$^,$. Actif depuis au moins 2008, il serait utilisé comme plate-forme de cyberespionnage contre des organisations privées et publiques$^,$.
Selon The Intercept, sur la base d'informations fournies notamment par Edward Snowden, ce maliciel aurait été créé par la National Security Agency (NSA) et son homologue britannique, le Government Communications Headquarters (GCHQ), et aurait servi à espionner les institutions européennes et l'entreprise de télécommunications Belgacom$^,$.

## Historique

Le 23 novembre 2014, la société Symantec a dévoilé l'existence de Regin qu'elle a identifié pour la première fois à l'automne 2013. Elle indique que la plate-forme a d'abord été utilisée entre 2008 et 2011, date à laquelle le logiciel a brusquement disparu. Une deuxième version, toujours active, est réapparue en 2013.
Le 24 novembre 2014, la société Kasperky a également publié un livre blanc sur Regin, en précisant qu'elle l'avait identifié pour la première fois au printemps 2012. Elle signale que certains composants de Regin datent de 2003.
The Intercept, un magazine numérique américain fondé par le journaliste Glenn Greenwald, a également publié une longue enquête le 24 novembre 2014 sur le maliciel Regin.
Le 22 janvier 2015, la société Kasperky publie une analyse de deux modules de Regin : « Legspin », une porte dérobée qui pourrait dater de 2002 et « Hopscotch », un nouvel outil utilisé pour circuler au sein des réseaux informatiques visés$^,$.

## Fonctionnalités

Kaspersky décrit Regin comme une plate-forme dédiée au cyberespionnage, que les attaquants déploient dans un réseau informatique afin d'en prendre le contrôle total$^,$.
Il aurait pour rôle principal de collecter des données, pourrait également prendre le contrôle d'ordinateurs cibles, prendre des captures d'écrans, et voler les mots de passes$^,$.

## Architecture

Symantec et Kaspersky décrivent la plate-forme de Regin comme extrêmement modulaire, apportant une grande flexibilité aux attaquants, car ils peuvent charger des fonctions personnalisées adaptées aux objectifs de chaque opération.
Ses caractéristiques modulaires rendraient complexe sa détection et se rapprocheraient d’autres maliciels comme Flamer ou Weevil. Son architecture serait semblable à celle de Stuxnet, un ver informatique découvert en 2010 et conçu par la NSA en collaboration avec l'unité 8200 des renseignements militaires israéliens (AMAN) pour s'attaquer aux centrifugeuses d’enrichissement d'uranium de l'Iran$^,$.
Symantec souligne que « c’est un programme d’un degré de complexité rarement atteint ».
Regin est un maliciel conçu avec une caractéristique de furtivité, afin d'avoir une signature réduite ou banale et ainsi être difficilement détectable, classifiable ou identifiable:
* Le rapport de Symantec montre que seul le « driver » utilisé dans la première des six phases d’infiltration contient du code « lisible », les informations suivantes étant chiffrées.
* il ne stocke pas de multiples fichiers sur le système infecté. Au lieu de cela, il utilise son propre système de fichiers virtuel entièrement chiffré. Sur le système hôte, ce système de fichiers ressemble à un seul fichier caché et portant un nom anodin$^,$;
* le système de fichiers virtuels contient des fichiers identifiés uniquement par un code numérique et non par nom$^,$;
* le système de fichiers utilise une variante de l'algorithme de chiffrement RC5 qui est peu utilisée$^,$;
* Regin communique sur Internet en utilisant des commandes ICMP / ping encapsulées dans des cookies HTTP et des protocoles TCP et UDP spécifiques$^,$.
Les composants dévoilés par Kaspersky et Symantec suggèrent que Regin cible les utilisateurs de Windows$^,$.

## Vecteurs d'infection

Symantec signale que le vecteur d'infection varie selon les cibles, et suppose qu'elles ont été infectées en visitant des sites internet falsifiés. Le logiciel malveillant s'installerait par le biais d'un navigateur Web, ou en exploitant une faille d'applications vulnérables.
De même, Kaspersky précise fin novembre 2014 que le vecteur d'infection demeure un mystère, tout en supposant également que les attaquants auraient eu recours à des attaques de type « man-in-the-middle » avec utilisation d'une vulnérabilité 0-day, c'est-à-dire une vulnérabilité informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif disponible.

## Profils des cibles
### Organisations

Symantec indique que les opérateurs de Regin ne semblent pas être intéressés par un secteur particulier, les infections ayant été observées dans une grande variété d'organisations incluant des sociétés privées, des entités gouvernementales ou des instituts de recherche.
Kaspersky indique que les organisations recensées victimes de Regin sont des opérateurs de télécommunications, des organisations gouvernementales, des organismes politiques multinationaux, des institutions financières, des organismes de recherches, et des individus impliqués dans la recherche et développement en mathématiques ou en cryptologie avancée. Kaspersky indique ainsi que le cryptographe belge Jean-Jacques Quisquater aurait été une victime de Regin en 2013$^,$$^,$$^,$.
L’un des modules de Regin vise clairement les opérateurs de télécommunications, car il permet spécifiquement d’espionner ce que font les administrateurs informatiques des réseaux mobiles$^,$.
D'après The Intercept, le maliciel serait à l'origine des attaques informatiques contre Belgacom$^,$.
Le 26 novembre, le journal Le Monde indique que selon « une source proche du dossier, qui tient à rester anonyme [...] Regin avait été trouvée au sein des réseaux de plusieurs institutions européennes ».
Le 28 novembre, le journal autrichien Der Standard indique que selon plusieurs sources anonymes, le maliciel Regin aurait également été découvert dans les systèmes informatiques de l'Agence internationale de l'énergie atomique (AIEA) basée à Vienne. Le journal rappelle que la NSA avait espionné cette agence internationale, comme l'avait révélé Der Spiegel en août 2013$^,$ sur la base des révélations d'Edward Snowden.
Le 28 décembre 2014, le quotidien allemand Bild révèle que Regin a été découvert sur la clé USB d'une proche collaboratrice de la chancelière Angela Merkel. Les services de sécurité informatique de la Chancellerie ont détecté Regin, lorsque cette collaboratrice, qui avait finalisé l'écriture d'un discours sur l'Europe à son domicile et enregistré le document sur la clé USB, a ensuite transféré son document sur son ordinateur professionnel une fois revenue au bureau.

### Pays

Symantec indique avoir identifié Regin principalement en Russie et en Arabie saoudite, mais aussi au Mexique, en Irlande, Inde, Afghanistan, Iran, Belgique, Autriche et Pakistan.
Kaspersky indique de son côté avoir identifié vingt-sept organisations victimes dans quatorze pays : Afghanistan, Algérie, Allemagne, Belgique, Brésil, Fiji, Inde, Indonésie, Iran, Kiribati, Malaisie, Pakistan, Russie et Syrie.

## Attribution
### Une opération étatique

Selon un expert de Symantec, Regin est incontestablement, au regard de ses caractéristiques (durée de l'opération, motivation, moyens financiers nécessaires pour le développement et le déploiement de l'infrastructure), un programme soutenu par un État$^,$. Il aurait ainsi fallu une équipe « d’au moins quatre spécialistes qui ont travaillé environ un an à son élaboration ». Selon cet expert, cette opération aurait coûté « plusieurs centaines de milliers de dollars sans viser de cibles potentiellement lucratives comme les institutions financières ». Cependant, dans son premier rapport publié, Symantec ne désigne pas d'État responsable du développement de Regin.
Kasperky Lab n'attribue pas non plus de responsable à Regin, mais précise qu'il est probable que cette opération soit supportée par un État, du fait de sa complexité et son coût.
La société G Data Software, qui a dévoilé une analyse d'une partie du code de Regin le 23 octobre 2014 lors de la conférence Hack.lu, confirme l'origine étatique de ce programme malveillant$^,$.
De son côté, la société F-Secure conclut son analyse en indiquant que Regin ne vient pas de Russie ou de Chine.

### De forts soupçons sur une implication du GCHQ et de la NSA

The Intercept a révélé que le logiciel malveillant Regin faisait partie d'une opération conjointe menée depuis dix ans par la National Security Agency et son homologue britannique, le Government Communications Headquarters (GCHQ). Le rapport d'analyse de The Intercept est fondé en partie sur les informations d'Edward Snowden. The Intercept rappelle que les logiciels malveillants du GCHQ ont donné aux espions britanniques la possibilité de recueillir des données de Belgacom, une entreprise qui fournissait des services de télécommunications à plusieurs institutions européennes :
* le 20 septembre 2013, le magazine Der Spiegel révélait que l'agence britannique de surveillance des communications espionnait, depuis 2010, le principal opérateur téléphonique belge, l'entreprise d'État Belgacom, qui a notamment comme clients la Commission européenne, le Conseil européen et le Parlement européen$^,$ ;
* sous le nom de code « Operation Socialist », le GCHQ a infiltré le réseau informatique interne de cette entreprise à l'aide de chevaux de Troie portant le nom interne de « Quantum Insert ».
Un expert de l'entreprise néerlandaise de sécurité informatique Fox-IT, qui avait aidé Belgacom à éradiquer les maliciels implantés dans son réseau en 2013, a déclaré être « convaincu » que Regin a été créé par la NSA ou le GCHQ$^,$. D'autre part, cette société suggère que les composants de Regin dévoilés à ce jour correspondent aux produits dénommés UNITEDRAKE et STRAIGHTBIZARRE dans le catalogue de la NSA (NSA ANT catalog (en)), dont l'existence et le contenu ont été dévoilés par le journal Der Spiegel le 29 décembre 2013$^,$$^,$.

## Protection

Kaspersky précise que ses produits détectent les modules de la plate-forme Regin sous les noms de « Trojan.Win32.Regin.gen » et « Rootkit.Win32.Regin ». Regin est détecté par les produits Symantec et Norton AntiVirus sous le nom de « Backdoor.Regin ».