L’invasion de l’Ukraine montre au monde entier ce que signifie une « guerre hybride ». Ce terme a été inventé par Frank Hoffman pour décrire une guerre qui se déroule sur plusieurs fronts : la guerre conventionnelle, les méthodes irrégulières (telles que les assassinats) et les cyberattaques. À mesure que cette effroyable manifestation d’agression se déroule, les aspects numériques de la guerre moderne auront des répercussions sur de nombreuses entreprises à travers le monde.
Alors que les sirènes retentissent dans toute l’Ukraine, les organisations doivent elles aussi tirer la sonnette d’alarme concernant leurs mesures de cybersécurité. Voici les défis auxquels les organisations sont confrontées dans le cadre de cette guerre hybride.
Un passé sinistre : « Ayez peur et attendez-vous au pire »
La Russie a depuis longtemps recours aux cyberattaques comme tactique pour exercer des pressions et mener une guerre par procuration. Les groupes de pirates informatiques soutenus par l’État russe sont connus pour leurs cyberattaques de grande envergure contre des organisations occidentales. L’une des plus importantes de ces dernières années a été l’attaque par ransomware perpétrée en 2021 contre le Colonial Pipeline américain par le groupe de pirates informatiques REvil.
Plus récemment, 70 sites web du gouvernement ukrainien ont été piratés lors d’une cyberattaque, au cours de laquelle un message d’avertissement s’est affiché à l’écran, indiquant : «ayez peur et attendez-vous au pire». Une analyse de cette attaque a révélé des indices laissant supposer l’implication des services de renseignement russes ; toutefois, la Russie a depuis nié toute implication.
Le déni et la désinformation sont des tactiques de guerre classiques qui exploitent la confusion pour « diviser pour mieux régner ». Cependant, les preuves s’accumulent : 74 % des sommes extorquées lors d’attaques par ransomware en 2021 ont été versées à des pirates informatiques liés à la Russie. Avec le recul, on est en droit de se demander si cet argent n’a pas été mis de côté pour constituer un fonds de guerre.
Au fur et à mesure que l’invasion de l’Ukraine se déroulait, de nouvelles cyberattaques ont été menées contre le gouvernement ukrainien. Un article publié le28 février sur le blog de Microsoft apporte des précisions à ce sujet :
« Le 24 février, le Centre de renseignement sur les menaces de Microsoft (MSTIC) a détecté une nouvelle vague de cyberattaques offensives et destructrices visant l’infrastructure numérique de l’Ukraine. »Le blog indique qu’une nouvelle variante de logiciel malveillant, baptisée « FoxBlade », a été identifiée dans le cadre de ces attaques.
Une chose est presque certaine : l’invasion de l’Ukraine relève d’une guerre hybride, et les cyberattaques ne se limiteront pas au territoire ukrainien.
Des signaux d’alerte annonçant de nouvelles cyberattaques
Des alertes et des avis ont été publiés dans le monde entier, avertissant les entreprises qu’elles doivent s’attendre à une menace accrue de cyberattaques :
Au Royaume-Uni, le Centre national de cybersécurité (NCSC) a publié sur son site web un avis exhortant les entreprises britanniques à renforcer leur «résilience en matière de cybersécurité face aux cyberincidents malveillants survenus en Ukraine et dans les environs.»
Aux États-Unis, la CISA (Agence pour la cybersécurité et la sécurité des infrastructures) a publié une alerte dans le cadre de son programme «Shields Up», concernant un nouveau groupe de ransomware, Conti, lié aux services de renseignement russes :
« Les auteurs du ransomware Conti menacent de prendre des « mesures de représailles » visant des infrastructures critiques en réponse à « une cyberattaque ou à toute action belliqueuse à l’encontre de la Russie ». »
En Australie, le niveau d’alerte face à une cyberattaque est fixé à « ÉLEVÉ » et le gouvernement indique que les entreprises sont « encouragées à renforcer de toute urgence leur cybersécurité».
De même, dans tous les pays européens, les gouvernements invitent les organisations et les citoyens à se préparer à une cyberattaque.
L’une des préoccupations liées à la facilité avec laquelle ces cyberattaques seront menées tient au fait que les cybercriminels soutenus par la Russie ont passé des années à développer leur savoir-faire en matière de logiciels malveillants et à étudier les tactiques d’attaque qui ont fait leurs preuves.
Nouveaux logiciels malveillants, tactiques efficaces
Plusieurs nouvelles variantes de logiciels malveillants associées à des groupes de pirates informatiques russes ont déjà été identifiées. Celles-ci semblent reposer sur la suppression de données et/ou sur des rançongiciels et sont extrêmement destructrices. Citons par exemple les logiciels malveillants HermeticWiper et WhisperGate, qui corrompent et/ou effacent complètement les données. Un autre, HermeticRansom, utilise des techniques d’extorsion pour aggraver encore l’impact néfaste du logiciel malveillant.
Des recherches complémentaires ont également révélé que des « vers » malveillants sont utilisés. Les vers sont particulièrement dangereux car, une fois qu’ils ont pénétré dans un système, ils se répliquent automatiquement et se propagent à travers le réseau, infectant les machines et causant des dégâts à l’échelle du réseau. L’une des dernières découvertes porte sur HermeticWizard, un ver utilisé pour diffuser le logiciel malveillant HermeticWiper.
Les vers s’introduisent dans un réseau par divers moyens, notamment par e-mail, via des clés USB, par le biais de liens malveillants dans des publications sur les réseaux sociaux, par le biais d’appareils IoT non sécurisés, etc.
D’autres variantes de logiciels malveillants feront probablement leur apparition dans le paysage des menaces à mesure que la guerre se poursuit.
La CISA et le FBI ont publié un avis conjoint qui explique les dangers liés à certaines des dernières variantes de logiciels malveillants. Cet avis invite instamment les organisations à :
« …renforcer leur vigilance et évaluer leurs capacités en matière de planification, de préparation, de détection et d’intervention face à un tel événement. »
Ces nouvelles variantes de logiciels malveillants continueront de s’appuyer sur des tactiques éprouvées, telles que le phishing et l’ingénierie sociale, pour s’introduire dans un réseau. Comment une entreprise peut-elle donc se préparer à cette guerre hybride ?
Mesures visant à protéger votre entreprise et vos salariés
Les cybercriminels à l’origine de cette vague de logiciels malveillants de cyberguerre auront recours à des méthodes éprouvées pour propager l’infection rapidement et efficacement. Les organisations doivent s’appuyer sur l’expertise du secteur de la sécurité pour se prémunir contre cette menace. Les mesures d’atténuation devraient inclure les éléments suivants :
- Assurez-vous d’avoir une visibilité complète sur l’ensemble de vos actifs informatiques, y compris chaque terminal, les systèmes de stockage et les flux de données, les serveurs et les autres appareils.
- Veillez à ce que votre réseau étendu soit doté de mesures de sécurité rigoureuses concernant les appareils, les personnes et les sites. Par exemple, mettez en place une authentification rigoureuse et appliquez le principe du « droit d’accès minimal » grâce à la gestion des accès privilégiés (PAM) pour contrôler les accès.
- Testez vos systèmes de gestion des correctifs afin de vous assurer qu’ils couvrent l’ensemble des terminaux et des serveurs.
- Mettez en place ou testez un système de sauvegarde sécurisé existant.
- Mettez votre entreprise en état d’alerte renforcée et accompagnez cette mesure d’une formation à la sensibilisation à la sécurité axée sur cette menace : complétez cette formation par une évaluation continue de la situation et recourez à des simulations de hameçonnage afin de sensibiliser votre personnel aux campagnes de hameçonnage susceptibles d’être associées à cette intrusion.
- Surveillez l’activité de votre réseau et de vos points d’accès, et vérifiez l’accès aux ports afin de détecter d’éventuelles vulnérabilités.
- Supprimez ou désactivez toutes les applications que vous n’utilisez pas.
- Examinez, actualisez et améliorez votre planification et votre stratégie de reprise après sinistre
Voici quelques-uns des domaines clés qu’il convient de renforcer en cette période de menace accrue.
Préparez-vous à faire face à des attaques de représailles
Il est désormais également précisé qu’une cyberattaque contre un État membre de l’OTAN entraînerait le déclenchement de l’article 5, relatif à la clause de défense collective. La guerre numérique et la guerre conventionnelle pourraient bien finir par se confondre à mesure que l’escalade s’intensifie. Des attaques de représailles sont très probables, et la meilleure défense réside dans la vigilance et la préparation.