Risque élevé d’extension internationale de cyber conflit aux organisations sensibles en Europe

Civis pacem para bellum

Dans cette note rédigée par le secrétaire général du ministère de l'Intérieur, il est demandé aux préfets de faire le nécessaire pour « être en capacité de revenir dans leur département d'affectation dans le délai maximal d'une demi-journée ». Il leur est en outre demandé de s'assurer « de la disponibilité de l'ensemble des services mobilisés et mobilisables », en veillant toutefois à ne pas « susciter de réactions disproportionnées ». « Le risque de cyberattaque est élevé », est-il en outre écrit dans la note. A ce stade « aucun effet spécifique lié aux évènements en cours n'a été observé sur nos réseaux et nos systèmes d'information », poursuit le Secrétaire général, mais « une grande vigilance s'impose néanmoins de la part de tous". Il demande aux préfets de rappeler aux agents de veiller au respect des « règles d'hygiène informatique essentielles » et indique que le centre de cyberdéfense du ministère de l'Intérieur passe en « vigilance renforcée ».

Quid dicis ?

Le nouveau malware, surnommé Hermetic Wiper par la communauté de la cybersécurité, est conçu pour effacer les appareils Windows infectés. Le nom fait référence à un certificat numérique utilisé pour signer un échantillon du malware - le certificat a été délivré à une société basée à Chypre appelée Hermetica Digital. «Pour l'instant, nous n'avons vu aucun fichier légitime signé avec ce certificat. Il est possible que les attaquants aient utilisé une société écran ou se soient appropriés une société défunte pour émettre ce certificat numérique », explique la société de sécurité des terminaux Sentinel One, dont les chercheurs ont analysé le nouveau malware.

Ce malware a également été analysé par les chercheurs d'ESET et de Symantec. Chacune de ces sociétés a partagé les indicateurs de compromission (IoC) associés à Hermetic Wiper. ESET a repéré ce malware pour la première fois mercredi 24 février après-midi (heure ukrainienne) et la société a déclaré que des centaines d'ordinateurs en Ukraine avaient été compromis. ESET a noté en plus que les échantillons de logiciels malveillants qu'elle a observés ont été compilés fin décembre 2021, ce qui suggère que l'attaque pourrait être en préparation depuis près de deux mois.

Les recherches menées par la société de cybersécurité suggèrent qu'au moins dans un cas, le malware pourrait avoir été livré après que les attaquants aient pris le contrôle du serveur Active Directory d'une victime. Ce malware effaceur utilise des pilotes légitimes associés à une application appelée EaseUS Partition Master. Il tente de corrompre le MBR (Master Boot Record) de chaque disque physique, ainsi que chaque partition de ces disques.

Il s'agit de la deuxième attaque de logiciels malveillants destructeurs visant l'Ukraine en 2022. En janvier, des acteurs de la menace ont défiguré des sites Web du gouvernement ukrainien et ont diffusé un malware d’effaçage nommé Whisper Gate, qui avait été déguisé en ransomware. Si les entreprises de cybersécurité qui ont analysé Hermetic Wiper n'ont pas attribué le malware à un groupe de menace connu - compte tenu de la situation actuelle - le coupable le plus probable est la Russie. Dans le cas du malware effaceur utilisé dans les attaques de janvier, l'Ukraine a déclaré avoir des preuves que la Russie était responsable.

Cautiones ad

Les hôpitaux font partie des organisations sensibles (OIV ; OSE). Leur démantèlement numérique pourrait contribuer à une grave désorganisation sociale et politique. Sachant ce que l’on connait du haut niveau de probité morale des hackeurs russes encouragés publiquement en 2021 par le chef suprême de l’Etat russe, il convient d’être prudent et de « veiller à appliquer les principes élémentaires - stratégiques et techniques - de précaution » (Patrick Pailloux, directeur technique de la DGSE et ex directeur général de l’ANSSI) :

- Ne pas ouvrir des mails provenant d'adresses inconnues;

- Ne pas ouvrir de pièces jointes suspicieuses ;

- Privilégier les outils de partage plutôt que la transmission par pièces jointes ;

- Signaler à son RSSI (responsable de la sécurité des systèmes d'information) tout fonctionnement anormal d'un équipement ou tout message suspect ;

- Ne pas susciter de réactions disproportionnées.

Albert Einstein avait raison qui, dubitatif, hésitait sur le point de savoir lequel des deux concepts était le mieux adapté à la notion d’infini, l’Univers ou la connerie humaine. Il avait un doute s’agissant de l’Univers. Dans le contexte actuel, nous avons définitivement la réponse.