Par crainte d’être licencié, un devops pirate son employeur

Drôle d’aventure pour Zhenquan Zhang, ingénieur informatique de 31 ans, qui a été cueilli par le FBI le 7 avril dernier. Les autorités et son employeur lui reprochent le vol de secrets commerciaux pour lequel il encourt une peine de 10 ans de prison et jusqu’à 250 000 dollars d’amende, rapporte nos confrères de Bleepingcomputer.

Rappel des faits. Zhenquan Zhang a été embauché en mars 2010 au sein de KCG Holding, une société chargée de la sécurisation des transactions financières. Il a débuté comme ingénieur Devops et a ensuite été promu en tant que superviseur d’une équipe de plusieurs autres ingénieurs. A son poste, il était chargé de gérer le code source de la plateforme et des algorithmes de trading de KCG. L’accès à ce référentiel est chiffré et accordé à des salariés éprouvés.

Un jour de mars, un analyste de KCG télé travaille et se connecte à distance sur son PC. Mais il est déconnecté et en se reconnectant, il constate que qu’un avait accédé à son PC en ouvrant un dossier contenant des mails archivés. Après plusieurs interruptions au cours des heures suivantes, l’analyste a enregistré l’identifiant de l’attaquant a utilisé pour se connecter à son compte. Interpellée, le RSSI de la KCG a mené son enquête et a rattaché l’identifiant au PC de Zhenquan Zhang. L’accès a été révoqué et les autorités sollicitées.

Malwares installés, employés espionnés et vol de code source

L’enquête a révélé qu’à partir de décembre 2016, au moment où M. Zhang est devenu superviseur, il a installé des malwares sur les serveurs de la firme pour enregistrer les identifiants des collaborateurs. Des sésames pour accéder et voler des éléments du code source de la plateforme et des algorithmes de trading KCG. En tant que superviseur, l’ingénieur Devops avait accès à l’ensemble de l’infrastructure basée sur Unix. Il pouvait ainsi identifier et éviter les serveurs proxy chargés d’analyser le réseau.

Avant d’être arrêté, M.Zhang a écrit un mail à l’ancien superviseur de KCG où il avoue ses méfaits (malwares, accès non autorisés aux comptes d’autres employés). Mais il justifie ses actes par le fait qu’il avait entendu parler d’une acquisition potentielle et qu’il craignait de perdre son emploi lors de cette opération. Il a donc cherché dans les courriers des salariés des informations sur cette stratégie de l’entreprise. Cette opération existait bel et bien, car le 7 avril dernier, Virtu Financial a annoncé l’acquisition de KCG pour 1,4 milliard de dollars. Pour autant, il n’explique pas les raisons qu’ils l’ont poussé à voler le code source des solutions de KCG. Le procès permettra peut-être d’en savoir un peu plus.

Quand un DSI laisse des backdoors pour pirater son ancien employeur