Une cyberattaque serait à l’origine d’une coupure d’électricité en Ukraine
En novembre, la Crimée, région annexée par la Russie en mars 2014, fut en grande partie privée d’électricité à cause d’un arrêt de l’approvisionnement venant d’Ukraine. Et cela motiva l’instauration de l’état d’urgence dans la péninsule. Selon Kiev, des lignes à haute tension avaient été la cible d’explosions, avec à la clé la destruction de plusieurs pylônes électriques. Qui en étaient les responsables? Mystère…
Un mois plus tard, soit le 23 décembre, la région d’Ivano-Frankivsk, située dans l’ouest de l’Ukraine, fut également privée d’électricité. Et cela, sans la destruction du moindre pylône d’une ligne haute tension.
Pour expliquer cet incident, la compagnie locale d’électricité expliqua que le coupure avait été causée par « l’intervention de personnes non autorisées (…) dans le système de commande à distance ». Le courant avait finalement été rétabli quelques heures plus tard.
En réalité, cette « intervention de personnes non autorisées » désigne une cyberattaque. En effet, plus tard, le SBU, le Service de sécurité d’Ukraine, a indiqué avoir découvert des « logiciels malveillants sur les réseaux de plusieurs compagnies d’électricité régionales ».
Le fait est. Deux sociétés de sécurité informatique viennent de confirmer les informations du SBU, qualifiant au passage cette cyberattaque de « première mondiale ».
Ainsi, les experts d’iSIGHT Partners ont retrouvé des traces de code malveillant sur les systèmes informations de trois opérateurs ukrainiens, dont Prykarpattya Oblenergo, qui fournit l’électricité dans la région d’Ivano-Frankivsk.
« Il s’agit d’un palier important. Auparavant, nous avions bien vu des événements ciblés destructeurs contre l’énergie, comme l’industrie pétrolière, mais jamais d’évènement qui provoque un blackout », a confié John Hultquist, un responsable d’iSight Partners, au site Ars Technica.
Un avis partagé par les spécialistes de la société ESET France. « Le virus a été implanté grâce à une importante campagne de ‘phishing’ [ndlr, hameçonnage] contenant un document Excel infecté », ont-ils expliqué, précisant que les auteurs de l’attaque ont utilisé le logiciel malveillant « BlackEnergy », lequel utilise un module « KillDisk ».
Repéré une première fois en 2007 alors qu’il était alors principalement utilisé pour faire de l’espionnage, le virus BlackEnergy a depuis évolué. Il s’en prend aux disques durs de manière à empêcher tout redémarrage du système d’exploitation des ordinateurs infectés.
Il est en mesure d’effacer des données, voire de détruire un disque dur (d’où le module KillDisk) et d’ouvrir une porte (backdoor) permettant aux assaillants d’accéder à un système et d’en prendre le contrôle. Il est possible qu’il puisse également donner un accès aux systèmes de contrôle d’acquisition de données (SCADA) utilisés par l’industrie, comme ce fut le cas du virus Stuxnet, conçus par la NSA et l’unité israélienne 8200 pour s’attaquer aux centrifugeuses iraniennes d’enrichissement de l’uranium (opération Olympic Games).
Le virus BlackEnergy avait été retrouvé dans les ordinateurs de médias et d’organismes officiels ukrainiens. Selon iSIGHT Partners, son créateur serait le groupe de pirates connu sous le nom de « gang Sandworm« , lequel aurait des liens avec la Russie. Ce dernier a déjà été à l’origine d’attaques informatiques contre l’Otan.
