Guerre en Ukraine : des cyberattaques plus discrètes, mais destructrices

Le 24 février 2022, la Fédération de Russie lançait l’invasion de son voisin ukrainien. À cette époque, de nombreux médias mettaient en avant les risques de cyberattaques de grande ampleur destinées à déstabiliser le pays.

Il y a un peu plus d’un an, nous constations que cette cyberguerre tant redoutée était finalement absente. Quel est le bilan au printemps 2023 ? Les analyses de différents experts ont montré que les risques de sabotages à grande échelle d’infrastructures sensibles n’ont pas eu lieu.

Les cyberattaques se sont déroulées de façon beaucoup plus discrète, mais parfois tout autant destructrice. En un mot, les Russes n’ont pas utilisé la grosse Bertha[1], mais plutôt des petites armes cyber sophistiquées et difficiles à repérer.

Certes, les Russes ont mené quelques cyberattaques classiques de type attaques Ddos[2] visant à paralyser le réseau informatique d’une banque ukrainienne ou d’une administration en le submergeant de requêtes envoyées par des millions d’ordinateurs contrôlés (à l’insu de leur possesseur) par des pirates.

Virus destructeurs

En réalité, l’invasion de l’Ukraine a commencé bien avant le 24 février 2022. De nombreuses opérations de renseignement avaient été menées plusieurs mois auparavant. Des pirates informatiques soutenus par le Kremlin ont, par exemple, ciblé les communications entre les soldats et leurs commandants et ont sondé les systèmes énergétiques pour voir lesquels étaient en ligne et connectés au réseau.

Mais surtout, les Russes avaient déjà mené des opérations pour « sonder » le niveau de résistance des réseaux informatiques ukrainiens dès 2015 (logiciel malveillant BlackEnergy) et l’année suivante avec le virus Industroyer.

Autre constat de ce bilan, la guerre en Ukraine a surtout été le terrain favori des wipers, des logiciels malveillants destructeurs. Le TAG (Threat Analysis Group, des experts en cybersécurité de Google) a constaté plus d’attaques de logiciels malveillants destructeurs en Ukraine au cours des quatre premiers mois de 2022 qu’au cours des huit années précédentes réunies !

Parfois utilisés conjointement avec des vers pour se propager sur tout le réseau, les wipers sont des codes malveillants qui effacent toutes les données enregistrées sur des disques durs ou les rendent inutilisables. Principal objectif dans le cadre de la cyberguerre : empêcher l’ennemi d’accéder à des données critiques ou essentielles à ses activités.

Dès février 2022, l’agence américaine de cybersécurité et de sécurité des infrastructures (CISA-Cybersecurity and Infrastructure Security Agency) avait alerté sur la multiplication de ces programmes malveillants (HermeticWiper, CaddyWiper, WhisperGate…) visant des infrastructures ukrainiennes.

La Russie a également intensifié ses opérations dans le cyberespace, frappant le fournisseur d’accès Internet par satellite Viasat, une attaque qui pourrait avoir dégradé les communications ukrainiennes dans les premières heures de l’invasion.

Des pirates russes visant le Pentagone

Mais comme sur le terrain, les Ukrainiens ont également résisté dans le cyber. Avec l’appui du renseignement américain et en particulier de la National Security Agency, ils ont repoussé une cyberattaque du groupe russe Sandworm qui aurait paralysé un réseau électrique desservant environ 2 millions de personnes.

L’Ukraine n’est pas la seule cible des pirates russes. Selon un rapport de l’Unité 42 de Palo Alto, une entreprise américaine spécialisée dans la cybersécurité, un groupe d’une dizaine de pirates informatiques, appelé « Trident Ursa », a tenté d’infiltrer une entreprise de raffinage de pétrole dans un État membre de l’OTAN à la fin du mois d’août 2022.

Identifié pour la première fois au milieu des années 90, ce groupe lié à la Russie tente souvent d’infecter des réseaux informatiques en cachant des logiciels malveillants dans des clés USB. Parmi ses cibles, la NSA et le Pentagone en… 1996.

[1] En référence à la très grosse pièce d’artillerie utilisée par l’armée allemande lors de la Première Guerre mondiale

[2] Distributed Denial of Service