Des virus de plus en plus sophistiqués

Des virus de plus en plus sophistiqués

Chaque jour, les éditeurs d’antivirus et les experts en cybersécurité découvrent de nouveaux virus (ou de multiples variantes) de plus en plus sophistiqués. Pour les pirates et les groupes à la solde de pays, il s’agit d’infiltrer des réseaux informatiques sans être repérés ou de mener des actions très ciblées.

1983 a vu la création par Fred Cohen – considéré comme l’un des pères de la virologie grâce à ses travaux menés dans les années 1980 lorsqu’il était étudiant à l’université de Californie[1] – d’un des premiers virus, lesquels se comptent désormais par milliers.

Aujourd’hui, la diversité des programmes malicieux a obligé les spécialistes à parler de « codes malveillants » (ou malwares) plutôt que de virus. La volonté des pirates a aussi évolué. L’appât du gain est devenu leur principale motivation. Pour mener à bien leur forfait, ils disposent dorénavant d’une palette de programmes malveillants très variée : virus, vers, chevaux de Troie…

Ils diffèrent sur de nombreux points, tels que le vecteur d’infection, la réplication, la distribution, la propagation et le contrôle de l’attaquant. D’un point de vue technique, il est également possible de différencier les composants en fonction de leurs capacités :

charges utiles : le virus en lui-même ;
droppers : extraction de fichiers du réseau informatique de l’entreprise ciblée ;
backdoors : « porte dérobée » dans un logiciel ou un matériel permettant d’accéder au réseau informatique ;
stealer : cheval de Troie (ou trojan horse) qui collecte des informations, principalement de connexion (identifiant, mots de passe) ;
packers : outil chiffrant, compressant ou modifiant le format d’un code malveillant pour le faire ressembler à un fichier anodin… ;
wiper : un logiciel malveillant conçu pour endommager le système d’exploitation d’un ordinateur ou d’une machine en détruisant de façon irrévocable tous les fichiers.

Les wipers n’ont pas beaucoup évolué depuis que le virus « Shamoon » avait paralysé quelque 30 000 ordinateurs et serveurs chez Saudi Aramco il y a plus de dix ans. Mais différentes études ont constaté un regain d’intérêt pour ce type de code malveillant dont il existe maintenant une vingtaine de variantes.

Industriels : cibles de certains pays

Cette année, des activistes et les groupes travaillant pour des États ont déployé de très nombreux wipers (appelés notamment WhisperGate et HermeticWiper) durant des cyberattaques. Principale cible, l’Ukraine avant que l’invasion du pays par la Russie commence en février.

Pour que les différents maillons d’un code malveillant restent discrets, le développement des composants requiert des expertises spécifiques et un développement continu pour s’adapter aux évolutions des environnements informatiques des victimes. Ces codes sont vendus, partagés et réaffectés, ce qui complique la tâche des experts en cybersécurité et des forces de l’ordre. Il est donc très difficile d’identifier correctement les acteurs de la menace impliqués dans une campagne de logiciels malveillants.

Les réseaux des industriels n’échappent pas à cette évolution de la menace. En avril dernier, le gouvernement américain a tiré la sonnette d’alarme après avoir découvert de nouveaux outils personnalisés capables de compromettre et de perturber entièrement des systèmes et des serveurs ICS/SCADA (Supervisory Control And Data Acquisition ou Système de contrôle et d’acquisition de données). Grâce aux systèmes SCADA, les organisations peuvent contrôler leurs processus industriels soit sur place, soit à distance, et interagir directement avec les équipements, tels que les moteurs, les pompes et les capteurs.

L’alerte conjointe du département de l’énergie, de la NSA et du FBI portait sur des virus développés précisément pour causer des dommages importants aux automates de Schneider Electric et d’OMRON Corp.

« En compromettant et en maintenant un accès complet au système des dispositifs ICS/SCADA, les acteurs malveillants pourraient élever leurs privilèges, se déplacer dans un environnement industriel et perturber les dispositifs ou fonctions critiques », selon l’avis des services américains.

Une preuve supplémentaire que les industriels sont devenus des cibles prioritaires pour certains États…

[1] University of Southern California’s School of Engineering (nom actuel : Viterbi School of Engineering)