Les dessous d’une cyberguerre annoncée

Des actions de cyberguerre menées dès 2010

Ce n’est pas la première fois que les armes numériques sont utilisées par des États. En 2010, le ver Stuxnet était découvert. Il a visé avec succès les centrifugeuses de l’usine d’enrichissement d’uranium de Natanz.

Dans son livre Confront and Conceal (page wikipedia en anglais), le journaliste du New York Times, David E. Sanger, révélait que la NSA et l’unité israélienne 8200 étaient à l’origine de ce ver. Commencé sous Bush, ce programme secret avait été accéléré sous Obama.

Une méthodologie éprouvée

Comme l’usine d’enrichissement était coupée du réseau internet, le seul moyen d’atteindre la cible était depuis l’extérieur.

Le ver Stuxnet a donc été conçu spécifiquement pour la cible : les systèmes d’exploitations en Iran étaient en majorité une version remaniée de Windows 98.

Il y avait des raisons de penser que les automates de commande des centrifugeuses étaient contrôlés par le système de contrôle et d’acquisition de données (SCADA) de chez Siemens. Plus particulièrement le logiciel WinCC.

Une opération commando

C’est donc spécifiquement ces versions qui ont été ciblées. Le ver a ensuite été déposé sur les réseaux où il a infecté petit à petit tous les ordinateurs.

Il a spécifiquement été conçu pour ne pas être repéré. Lorsque des ingénieurs découvraient un problème sur une machine, cherchaient à l’isoler (technique du bac à sable), le ver se mettait en sommeil. Cela a permis une diffusion maximale jusqu’à ce qu’il touche sa cible.

Le ver a vraisemblablement été introduit dans l’usine via une clé USB. On ne sait pas si la clé a volontairement été infectée ou bien si c’est une clé qui a été contaminée simplement en étant connectée à un moment ou à un autre sur le réseau iranien qui, selon les cartographies réalisées en 2010, a été complètement infesté.

L’apparence que tout va bien

Reproduite depuis en laboratoire, l’attaque de l’usine d’enrichissement est d’une simplicité déroutante. Le ver se positionne entre les capteurs et le logiciel – c’est ce qu’on appelle généralement une attaque “man-in-the-middle“. L’ordinateur échange avec les capteurs et le ver se met au milieu de l’échange.

Dans un premier temps, il écoute les échanges. Puis il commence à introduire des petits écarts pour voir si ces écarts sont constatés. Subtilement, il habitue à des petits défauts : temps de réaction, légère accélération. Un décalage se crée entre les informations affichées sur l’écran de contrôle et ce que les capteurs et les sondes perçoivent.

Pour l’opérateur, ces changements progressifs passent complètement inaperçus. Jusqu’au jour où l’enrichissement nécessite une accélération des centrifugeuses. Supposons qu’elles doivent tourner à 100 tours/minute. Pour un opérateur habitué, si la vitesse est progressivement passée de 100 à 150 tours minute, rien ne sera détecté… Et si l’accélération du processus nécessite maintenant de passer de 100 à 1000 et que la centrifugeuse passe de 150 à 2000, il est fort à parier que ce décalage sera tout à fait transparent pour l’opérateur.

Une perception en décalage

C’est, de manière assez simplifiée, ce qu’il s’est produit. Les centrifugeuses sont passées progressivement dans une zone rouge, là où elles ne devaient pas aller. Comme les opérateurs avaient été progressivement habitués à ces écarts, ils n’ont pas pu – ou pas eu le temps de – détecter une anomalie. Aucun signal ne les a alertés jusqu’à la destruction du programme et des centrifugeuses.

Des victimes collatérales ?

Difficile de savoir si des entreprises ont été victimes du ver Stuxnet, car beaucoup ont préféré garder le silence. En novembre 2012, des journaux, comme L’Obs, affirmaient que la société Air Liquide avait été victime du ver.

Deux jours plus tard, un magazine en ligne citant L’Express apporte une nuance importante : le ver serait bien entré dans le réseau mais il n’aurait pas eu le temps de faire des dommages – contrairement à d’autres entreprises (non-citées).

De nouvelles menaces de cyberguerre

Dans sa nouvelle enquête, David E. Sanger affirme que le Pentagone dispose désormais de nouvelles armes. Dans le podcast The Daily (en anglais) du New York Times, celui-ci a livré plusieurs informations sur cette nouvelle enquête.

D’abord le subterfuge de la clé USB fonctionne toujours très bien. Pour infiltrer le réseau du Pentagone, lui-aussi complètement étanche à internet, des agents russes auraient laissé traîner des clés USB sur le parking d’une base militaire américaine au Moyen-Orient.

On se frotte les yeux pour se convaincre qu’on ne rêve pas. Et on découvre que le subterfuge a admirablement bien fonctionné. Une des clés a été connectée à un ordinateur connecté lui-même au réseau.

Des cyberattaques en mer ?

Ce n’est que très tardivement que le Pentagone a découvert le problème. On ne sait rien des dommages éventuels. David E. Sanger ne s’étend pas sur le sujet. Mais on peut supposer que des incidents ont éveillé les soupçons.

Ainsi des accidents en mer pourraient être liés à des cyberattaques comme l’évoquait Sud-Ouest en 2017. Après une période d’observation et d’impossibilité de répliquer, les Américains se sont décidés à passer à l’action.

La difficulté de riposter

Cela ne semble pas avoir été facile, d’autant que, selon le journaliste, évoquer la cybermenace ou la Russie devant le président américain, c’est à coup sûr se retrouver devant un personnage buté et enfermé dans des dénégations concernant l’implication de la Russie dans sa victoire électorale.

Néanmoins, les militaires semblent avoir eu gain de cause et obtenu une ordonnance du Président permettant, comme c’est le cas pour des armes classiques, d’intervenir en cas d’attaque et de riposter sur le même terrain que l’adversaire.

Des hackeurs avertis par SMS

La suite fait songer à un roman policier. Une fois la possibilité offerte, les as du Pentagone se seraient lancés dans une mise en garde musclée. Les équipes de hackeurs liés au Kremlin auraient été traquées, écoutées et finalement averties par SMS selon une formule assez explicite : “Nous savons qui vous êtes, où vous habitez et ce que vous avez fait…”.

Déjà des avertissements par le passé

L’avertissement n’est pas le premier. On se souvient que Barack Obama avait produit la photo d’un immeuble en Chine censé abriter le QG des hackeurs du gouvernement et expliquant tout à fait clairement que des attaques numériques contre les intérêts américains pourraient être payées par des attaques physiques, y compris nucléaires si besoin.

En Israël, il n’y a eu aucune menace. L’attaque informatique (en anglais) s’est soldée par la destruction immédiate du QG des hackeurs du Hamas comme évoqué dans le tweet ci-dessous.