L’Ukraine est la cible d’une nouvelle vague de malwares venus de Russie. Déployés par les pirates de Sandworm, ces virus sont conçus pour effacer les données informatiques des infrastructures ukrainiennes.
Le Computer Emergency Response Team of Ukraine (CERT-UA), l’unité chargée de veiller à la cybersécurité ukrainienne, a découvert la présence de cinq malwares sur les terminaux d’Ukrinform, l’agence de presse nationale d’Ukraine. Les logiciels sont entrés sur les machines cibles au début du mois de décembre 2022.
UPDATE: UAC-0082 (suspected #Sandworm) to target Ukrinform using 5 variants of destructive software: CaddyWiper, ZeroWipe, SDelete, AwfulShred, BidSwipe.
Details: https://t.co/vFIiRvXm0u (UA only)
— CERT-UA (@_CERT_UA) January 27, 2023
Les experts ont identifié ces maliciels comme des « wipers ». Cette catégorie de virus est programmée pour effacer toutes les informations stockées sur le disque dur d’un ordinateur. Dans certains cas, ce type de logiciel réclame une rançon avant de détruire les données. C’était par exemple le cas du ransomware NotPetya, apparu en 2017, qui est également considéré comme un logiciel de sabotage. Dans le cadre de la récente attaque contre l’agence de presse nationale d’Ukraine, les virus se contentent simplement de faire disparaître toutes les données, sans réclamer de rançon au préalable.
À lire aussi : Le réseau mobile d’Ukraine est au bord du gouffre
Une tentative de déstabilisation
En amont de l’invasion du 24 février 2022, la Russie avait déjà déployé des « wipers » sur les réseaux ukrainiens. Ces programmes malveillants visaient à préparer l’incursion des troupes russes en déstabilisant l’infrastructure de l’Ukraine. Le Kremlin avait notamment lancé un malware appelé HermeticWiper pour effacer les données de certaines institutions gouvernementales.
Peu après, c’est le virus CaddyWiper qui a fait des ravages en Ukraine en corrompant les données stockées sur des ordinateurs. Plusieurs de ces logiciels malveillants, dont CaddyWiper, ont été retrouvés lors de l’attaque contre Ukrinform. Les équipes du CERT-UA précisent que les attaquants ne sont pas parvenus à leurs fins, bien que « plusieurs systèmes de stockage de données » aient été affectés :
« Il a été constaté que les attaquants avaient tenté en vain de perturber le fonctionnement normal des ordinateurs des utilisateurs à l’aide des programmes malveillants ».
Un « Tabula rasa » informatique
Comme l’explique MalwareBytes, l’attaque par le biais d’un « wiper » est loin d’être une garantie de succès. En règle générale, un malware de cet acabit ne parvient pas à supprimer toutes les données d’un ordinateur. Il reste bien souvent possible de récupérer une partie des informations.
« Les ordinateurs sont très mauvais pour oublier », note MalwareBytes.
De plus, les pirates doivent contourner une série de mesures de sécurité pour activer la disparition définitive des données. Le rapport de MalwareBytes évoque spécifiquement les restrictions inhérentes au système d’exploitation. Pour fonctionner, un « wiper » a aussi besoin d’être accompagné d’un « dropper », aussi appelé compte-gouttes ou injecteur. Ce type de virus, proche du cheval de Troie, est conçu pour installer un autre logiciel malveillant sur un ordinateur.
Enfin, le logiciel malveillant doit rendre « la restauration à partir des sauvegardes » la plus difficile possible. Il est en effet inutile d’effacer les données d’un ordinateur si l’utilisateur peut parvenir à les récupérer à l’aide d’une simple sauvegarde du disque dur. Finalement, une attaque visant à effaçant les données d’une machine doit être bien ficelée pour atteindre son objectif.
Les experts ukrainiens accusent Sandworm, un groupe de pirates russes, d’avoir orchestré toute l’opération à la demande de Moscou. Ces cybercriminels sont également suspectés d’avoir saboté le réseau électrique d’Ukraine à l’aide du malware Industroyer en 2015, 2016 et en 2022, quelques semaines après l’invasion de l’armée russe.
Source :
MalwareBytes