Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

04/03/2022

Cybersecurity Insights

Tensions géopolitiques et conflit entre la Russie et l’Ukraine | 4 Mars 2022 – Suivi de l’actualité

A mesure de l’intensification des tensions géopolitiques inhérentes au conflit entre la Russie et l’Ukraine, les événements et incidents cyber recensés et signalés sont de plus en plus nombreux. Ceux-ci se matérialisent principalement de deux façons, à savoir la désinformation et les opérations cyber offensives.

Intensification des cyberattaques

A l’issue du discours de Vladimir Poutine en date du 24 février 2022, l’armée russe est entrée sur le territoire Ukrainien, marquant le début des manœuvres offensives militaires aériennes et terrestres. La veille de son discours, des attaques par déni de service distribuées DDOS (1) ont été observées, ayant pour principales conséquences l’inaccessibilité pendant plusieurs heures des sites des ministères de la Défense, de l’Intérieur, des Affaires étrangères mais aussi de banques ukrainiennes.

De nombreux acteurs utilisent une variété de techniques et de nouveaux outils créant un paysage de menaces dynamiques que les éditeurs d’outils de protection tentent de couvrir au fur et à mesure des découvertes. On observe ainsi, l’apparition de codes malveillants destructeurs tels que WhisperGate, FoxBlade (aka HermticWiper / HermeticWizard) et SonicVote (aka HermeticRansom). D’après Microsoft, les comportements d’intrusion courants liés à ces attaques sont : une activité suspecte à distance, l’altération de l’antivirus et un accès illégitime au service LSASS. (2)

A titre d’exemple, quelques heures avant le discours de Vladimir Poutine, des chercheurs en sécurité d’ESET ont détecté le logiciel malveillant HermeticWiper qui aurait infecté des centaines de machines en Ukraine, rendu indétectable en raison de l’utilisation d’un certificat, attribué à une entreprise chypriote, empêchant la détection immédiate du code malveillant. La principale menace réside dans sa capacité à effacer des données ainsi que le Master Boot Record (MBR), rendant les ordinateurs inopérants. (3)

Le réseau satellite de Viasat et notamment le satellite KA-SAT était en partie indisponible, dès le 24 février 2022. L’une des conséquences tangibles a été l’indisponibilité d’Internet pour des centaines de milliers d’Ukrainiens et une dizaine de milliers de Français abonnés à Internet via Nordnet. La gestion à distance de quelques 6 000 éoliennes situées en Allemagne est également devenue impossible. L’attaque aurait potentiellement été conduite depuis la Russie, via le déploiement d’une mise à jour altérée générant un blackout sur certains modèles de modem, notamment utilisés par les services de sécurité et de défense Ukrainiens. (4)

A ce stade du conflit, aucun code malveillant actuellement utilisé dans le cadre de la guerre hybride n’a pour le moment été identifié dans l’écosystème cyber français. Nous observons cependant une augmentation des attaques opportunistes par hameçonnage s’appuyant sur l’actualité pour extorquer des informations ou installer des codes malveillants. Néanmoins, il est important de suivre l’évolution du conflit et d’anticiper toute escalade de la violence.

De plus, il faut prévoir une intensification des actions d’espionnage contre les gouvernements et entreprises des pays occidentaux.

Opposition entre groupes d’hacktivistes

Le climat géopolitique actuel a déclenché des cyberattaques contre des cibles des deux côtés. La majorité de ces attaques ont été lancées par des groupes d’hacktivistes idéologiquement engagés dans l’un des deux camps. A titre d’exemple « IT Army of Ukraine », une armée numérique créée bénévolement après l’appel du ministre Ukrainien, Mykhailo Fedorov, à défendre le cyberespace de l’Ukraine, réunit aujourd’hui plus de 35 000 membres.

Le climat géopolitique actuel a déclenché des cyberattaques contre des cibles des deux côtés. La majorité de ces attaques ont été lancées par des groupes d’hacktivistes idéologiquement engagés dans l’un des deux camps. A titre d’exemple « IT Army of Ukraine », une armée numérique créée bénévolement après l’appel du ministre Ukrainien, Mykhailo Fedorov, à défendre le cyberespace de l’Ukraine, réunit aujourd’hui plus de 35 000 membres.

Ces groupes d’hacktivistes ont chacun déclaré la cyberguerre au camp opposé.

La vérification des affirmations communiquées par ces groupes est difficile, bien que les attaques DDoS semblent être relativement fiables, de nombreuses affirmations peuvent s’avérer fausses. (6)

Le groupe cybercriminel Conti, proposé en RaaS, basé en Russie et à l’origine d’une multitude de séries d’attaques rançongiciels, a déclaré publiquement son soutien à l’invasion russe, avant de retirer rapidement sa déclaration face à la réaction de ses partenaires. Peu de temps après cette déclaration, un ou plusieurs membres de Conti soutenant l’Ukraine se sont mis à divulguer d’importantes informations sur le groupe cybercriminel : discussions privées, codes sources, forums… Cela pourrait signer la fin du groupe cybercriminel. (7)

A l’inverse, LockBit a annoncé ne prendre aucun parti, potentiellement pour éviter un conflit interne. (8)

Des informations sont en cours de diffusion par des comptes Twitter @TrickBotLeaks et @TrickLeaks annonçant disposer de preuves de la coopération du FSB avec les membres du groupe cybercriminel Trickbot. Ces informations n’ont pour le moment pas été officiellement vérifiées. (9)

État des lieux du climat géopolitique

Le Président de la République l’a affirmé dans son discours, il faut s’attendre à une intensification dans les semaines à venir des attaques menées contre l’Ukraine. La réponse de la communauté internationale, et particulièrement l’Europe se matérialise essentiellement par des sanctions économiques. Les secteurs particulièrement visés sont le secteur financier, le secteur de l’énergie et des transports, et les biens à double usage (civil ou militaire).

Le 2 mars, sept banques russes ont été déconnectées du système financier international SWIFT. En conséquence, des réactions russes peuvent être attendues. En 2012, à la suite de l’exclusion de l’Iran de SWIFT, une série d’attaques DDoS émanent de l’Iran et visant des organismes bancaires américains avaient été constatées. Dans ce contexte, les services essentiels ukrainiens sont les cibles privilégiées de cyberattaques sur le modèle des attaques de type destruction de données.

Nos recommandations

Nous vous recommandons d’élever votre niveau de vigilance vis-à-vis de la sécurité de votre SI en cette période et d’assurer une surveillance continue (SOC). Si vous disposez d’ancrages (filiales, partenaires stratégiques, …) en Ukraine ou dans les pays de l’Europe de l’Est membres de l’OTAN, nous vous recommandons fortement d’évaluer les risques associés au contexte géopolitique et prendre toute mesure drastique nécessaire pour protéger votre SI.

Nous attirons plus particulièrement votre attention sur les mesures de prévention suivantes :

  • Veiller à ce que les composants de sécurité (EDR, EPP, IPS, proxy, pare-feu, anti-spam…) soient opérationnels et à mettre à jour vos bases de signature et d’indicateurs de compromission.
  • Veiller à la bonne application des correctifs de sécurité sur les systèmes utilisés, en priorité sur les actifs exposés sur internet, mettre en place des mesures de confinement pour les systèmes non patchés.
  • Vérifier que les connexions externes (VPN, Citrix, UAG…) sont limitées au strict nécessaire et/ou durcir les accès, par exemple via une authentification multi-facteurs.
  • Isoler les copies d’or des sauvegardes de vos équipements critiques et veiller au bon fonctionnement de la stratégie de sauvegarde et de restauration.
  • Sensibiliser vos utilisateurs sur les attaques opportunistes de type hameçonnage s’appuyant sur l’actualité.

Enfin, nous vous conseillons de préparer un plan de continuité et de reprise d’activité afin de disposer des outils et méthodologies pour faire face à une menace de type rançongiciel ou « wiper » (malwares effaçant les données). Le bon fonctionnement de la stratégie de sauvegarde et restauration des données est essentiel.

Nous vous recommandons également de prendre en considération l’usage d’outils développés ou hébergés par des pays engagés dans le conflit géopolitique. Si vous disposez d’outils de substitution, il est préférable de les remplacer afin de diminuer l’impact du conflit sur votre système d’information.

En complément, en particulier dans le secteur industriel ou de l’énergie, il est fortement conseillé, sur vos micrologiciels, d’appliquer uniquement des mises à jour qualifiées ou de confiance.

Mathias GARCIAU

Manager SOC CERT CWATCH

Albane GIROLLET

Consultante Governance, Risks & Compliance

Chloé GREDOIRE

Consultante Governance, Risks & Compliance

Alia SAADI

Consultante Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

26 mai 2023
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
4 mai 2023
Après quelques rappels de la Directive NIS 1, l'article présentera les évolutions attendues avec l'adoption de la Directive NIS 2 et sa date d'entrée en vigueur.
4 mai 2023
Cet article a pour objet de présenter les enjeux liés à la protection des données personnelles auxquels les régies publicitaires sont confrontées, et de présenter un processus de mise en conformité pour répondre à ces enjeux.
3 mai 2023
L'objet de cette fiche vise à vous aider à réaliser la transition vers un outil de mesure d'audience conforme au RGPD.
28 avril 2023
Le terme APT, Advanced Persistant Threat, désigne un type d’attaque perpétré par des groupes professionnels, opérant dans des structures banalisées, pilotées et financées par des États.
24 avril 2023
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits et les libertés des personnes physiques sont-ils garantis ?
18 avril 2023
Alors que la loi d’orientation et de programmation du ministère de l’Intérieur (ou LOPMI), a été adoptée le 24 janvier 2023, les débats parlementaires qui l’ont animée ont fortement relancé la question de l’assurabilité des rançongiciels, mais aussi de leurs paiements toujours plus nombreux en France.
14 avril 2023
Les applications de l’intelligence Artificielle ne cessent de se multiplier, il est aujourd’hui de plus en plus difficile d’y échapper au quotidien. C’est également vrai pour les entreprises qui pour éviter de se laisser dépasser doivent apprendre à définir leur propre cadre éthique et pour cela il est important d’avoir les bons réflexes.
11 avril 2023
Chaque personne et chaque organisation doit se préparer à surmonter et à réagir aux incidents de cybersécurité. retrouvez les fiches pratiques à télécharger.
10 avril 2023
Dans un arrêt du 8 mars 2023 (21-12.492), la chambre sociale de la Cour de cassation a fait primer le droit à la preuve sur le droit à la protection des données à caractère personnel, dans le cadre d’un litige prud’homal.