Panne électrique en Ukraine : sur la piste du malware
De belles soirées aux chandelles
Le 06 janvier 2016 à 11h00
5 min
Logiciel
Logiciel
L’Ukraine pourrait bien être le premier pays à avoir été touché par une panne électrique provoquée par un malware. C’est ce qui ressort de l’analyse de plusieurs sociétés de sécurité ayant enquêté sur des évènements ayant eu lieu le 23 décembre dernier.
En avril dernier, Keith Alexander, ancien directeur de la NSA, s’exprimait au sujet des systèmes SCADA (Supervisory Control And Data Acquisition), des infrastructures de contrôle et de gestion des données sur de larges échelles. Il indiquait dans un discours assez anxiogène que les systèmes américains n’étaient clairement pas assez protégés contre les cybermenaces. Il n’était donc pas étonnant de voir les États-Unis avancer vers une loi obligeant à davantage de sécurité, même si les mesures envisagées sont critiquées.
Une panne en Ukraine, la piste du malware rapidement évoquée
Or, le 23 décembre dernier, la région Ivano-Frankivsk d’Ukraine a été touchée par de larges pannes électriques. Aujourd’hui, de nombreux signes pointent vers l’utilisation d’un malware utilisé pour provoquer des incidents dans les centrales électriques. Le ministère ukrainien de l’Énergie enquête actuellement sur ce qui parait de plus en plus comme être une attaque savamment orchestrée contre la société Prykarpattyaoblenergo, à qui appartiennent les centrales.
L’idée d’une telle attaque a d’abord été rapportée par le média ukrainien TSN le 24 décembre. La société de sécurité iSight, qui a obtenu des morceaux du code utilisé, a renforcé cette hypothèse en s’exprimant notamment chez Ars Technica : « C’est une étape importante parce que nous avons déjà vu des évènements destructeurs ciblés contre le secteur de l’énergie – les compagnies pétrolières par exemple – mais jamais au point de provoquer une panne. C’est un scénario majeur que nous redoutions depuis longtemps ».
Un vieux malware de 2007 remis au « goût du jour »
Dans un billet publié lundi, la société ESET (qui commercialise l’antivirus NOD32), a de son côté plongé beaucoup plus loin dans les détails. Elle explique ainsi que le malware trouvé dans les centrales n’est autre que BlackEnergy. Découvert initialement en 2007, ce cheval de Troie était à l’origine un relai pour conduire des attaques par déni de service. Mais il y a deux ans, il a reçu une importante mise à jour pour lui ajouter de nouvelles capacités, notamment d’empêcher les machines infectées de démarrer. Toujours selon ESET, BlackEnergy a reçu récemment une nouvelle mise à jour, ajoutant cette fois un composant nommé KillDisk (dont le nom parle de lui-même) ainsi qu’un utilitaire SSH masqué permettant de garder le contrôle sur la machine.
Selon les chercheurs, l’infection a pu commencer en cachant le code malveillant dans des macros de documents Office. De là, les auteurs de l’attaque auraient pu diffuser KillDisk dans plusieurs installations. Une simplicité déconcertante et inquiétante tant la méthode semble facile au vu des implications. KillDisk passait ensuite à l’action, détruisant certains secteurs des disques durs et déployant plusieurs fonctionnalités dédiées aux systèmes SCADA.
BlackEnergy : l'acteur ou le relai
Pour autant, ni iSight, ni ESET n’affirment clairement que BlackEnergy est responsable de panne en Ukraine. Les chercheurs laissent cependant peu de doute sur leurs certitudes tant le faisceau d’éléments concordants semble aller dans la même direction. Mais ESET ajoute un élément intéressant : « Notre analyse du malware KillDisk détectée dans plusieurs sociétés de distribution de l’énergie en Ukraine indique qu’il est théoriquement capable d’arrêter des systèmes critiques. Toutefois, il existe une autre explication possible. BlackEnergy, ou la porte dérobée SSH, fournissent aux attaquants un accès à distance aux systèmes infectés. Après avoir infiltré avec succès un système critique avec l’un ou l’autre, un attaquant serait, là encore théoriquement, parfaitement capable de l’arrêter. Auquel cas KillDisk aurait la mission de rendre le redémarrage de ce système plus difficile ».
En d’autres termes, les chercheurs ne savent pas si BlackEnergy est directement responsable de la panne, ou s’il a servi d’agent de liaison entre les systèmes infectés et les attaquants. Ces derniers avaient alors tout loisir de les piloter à distance, et donc de les éteindre. Si l'enquête du ministère de l'Énergie devait confirmer en tout cas la présence du malware, nul doute que de nombreux pays accéléreront leur travail législatif pour la mise en place de nouvelles règles et défenses de leurs systèmes.
En France, la loi de programmation militaire de 2013 a déjà imposé un certain nombre de mesures pour les OIV (Opérateurs d’importance vitale). Outre l’obligation de déclarer les incidents de sécurité dans leurs systèmes, ils doivent posséder des mécanismes de détection d’évènements (exploité par l’ANSSI dans le cas d’une administration de l’État), des mesures de contrôles et accepter des audits réguliers de sécurité.
Panne électrique en Ukraine : sur la piste du malware
-
Une panne en Ukraine, la piste du malware rapidement évoquée
-
Un vieux malware de 2007 remis au « goût du jour »
-
BlackEnergy : l'acteur ou le relai
Commentaires (88)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 07/01/2016 à 12h48
Le 07/01/2016 à 12h56
Le 07/01/2016 à 13h11
Le 07/01/2016 à 14h07
Le 09/01/2016 à 02h11
Bon, je n’ai pas lu tous les commentaires et je suis grave à la bourre, mais je me dois d’essayer quand même: apparemment, certains pensent que l’histoire du nuage qui s’arrête à la frontière est un mythe.
Contrairement à beaucoup d’entre vous, j’étais déjà né en 1986 et je me rappelle très bien de cette période, et malheureusement ce n’est pas un mythe… Ce ne sont sûrement pas les mots exacts employés à l’époque, et je ne me souviens évidemment pas de ces mots, mais le sens était le même: nos voisins sont touchés mais pas nous, par chance le nuage n’a pas atteint la France. Je pense que dire que le nuage n’a pas passé/s’est arrêté à la frontière revient au même.
Merci d’éviter, à l’avenir, de réécrire l’histoire.
Le 09/01/2016 à 10h50
Le 10/01/2016 à 05h51
Le 06/01/2016 à 15h59
Le 06/01/2016 à 16h11
Le 06/01/2016 à 16h12
Je pense que si un cambrioleur sait hacker des télécompteurs et en analyser les données, il peut ranger son pied de biche et changer de carrière (il y a des débouchés illégaux pour les gens qui savent pirater).
Le 06/01/2016 à 16h15
Effectivement, planter tout un secteur ça se complique " />
Mais je suppose que si tu arrives à contrôler un secteur depuis la centrale d’administration (je dis ça comme ça car je sais pas du tout comment c’est foutu leur truc donc je dis peut-être la plus grosse bêtise de ce début d’année 2016) tu dois pouvoir contrôler les autres secteurs par la même occasion sauf s’ils sont aussi “compartimentés” d’un point de vue logique/sécurité ce dont je doute " />. Quoique suivant ce qui est alimenté les niveaux de sécurité ne sont peut-être pas les mêmes, les réseaux physiquement séparés… Si quelqu’un connait le sujet, je suis preneur " />
Le 06/01/2016 à 16h22
Le 06/01/2016 à 16h24
Quand ce sont des chercheurs non payés par l’état français le résultat est fort différent : explosion des cancers de la thyroïde depuis 1986 " />
Le 06/01/2016 à 16h26
Le 06/01/2016 à 16h35
Un concours entre les vidéos Russe, Japonaise et Indienne, serait marrant." />
Le 06/01/2016 à 16h35
Une station SCADA qui sert à lire des documents Office.. Pourquoi ne pas installer Steam ou VLC pendant qu’on y est…
Dans ce genre d’environnement, une tâche, un logiciel et c’est tout…
Le 06/01/2016 à 16h53
ça pourrait être rigolo ! " />
Le 06/01/2016 à 16h55
Le 06/01/2016 à 16h55
Le 06/01/2016 à 17h07
Le 06/01/2016 à 17h25
Seule solution pour éviter ça si ça arrive : arracher le compteur et relier les fils, a moins que les pirates aient aussi pris aussi le contrôle de la centrale…
Le 06/01/2016 à 17h55
Le 06/01/2016 à 18h14
Désolé mais ton pavé ne m’intéresse pas.
Tes histoire de statistique improbable, c’est faux.
Je connais aussi une personne qui est décédée d’un cancer de la thyroïde à Compiègne après 1986, ça ne prouve rien. J’ai longuement échangé avec une soeur de cette personne, c’est ce qui m’a permis de me pencher sur les études effectuées.
Statistiquement les études ont montré qu’on n’a pas eu de hausse des cas de cancer de la thyroïde, ça occupe des rapports entiers, basés sur des données publiques (envoyées par les médecins et les hopitaux et les systèmes de veille sanitaires).
De la radioactivité issue de Tchernobyl est arrivée en France, personne ne l’a nié. Elle est arrivée en quantité insuffisante pour causer des problèmes de santé.
Au fait ça t’intéressera sans doute :http://energie.lexpansion.com/climat/-le-nuage-du-volcan-eyjafjoll-plus-radioact…
Le 06/01/2016 à 18h15
J’ai retrouvé un article excellent sur le sujet :http://rue89.nouvelobs.com/2013/07/16/nuage-tchernobyl-lenquete-corse-completeme…
Voici une partie de l’article :
[…]
Depuis le passage du nuage, de nombreuses études[PDF] épidémiologiques ont été menées par l’Institut de veille sanitaire (InVS). Aucune n’a pu mettre en évidence d’augmentation des cas de cancers de la thyroïde (principale pathologie liée à ce genre d’exposition) qui puisse être corrélée aux retombées du nuage de Tchernobyl.
Si les enfants situés aux abords de la centrale ont été fortement touchés par des cancers de la thyroïde (environ 7 000 casont été dénombrés en lien direct avec la catastrophe, avec une mortalité inférieure à 0,5%) d’autres pathologies ne sont pas non plus exclues (leucémies, autres cancers) mais sans que l’incidence mesurée soit à ce jour significative.
En France, l’exposition a été 100 fois moindre qu’en Biélorussie. Si l’on s’en tient aux cancers de la thyroïde chez les enfants, seul marqueur fiable à ce jour, et même en étant extrêmement pessimiste sur les effets des rayonnements (c’est-à-dire en adoptant ce qu’on appelle une « relation linéaire sans seuil » sur les effets de la radioactivité), les scientifiques arrivent à un excès de 7 à 55 cas de cancers, avec une incertitude de +/- 60 cas…
De plus, si on s’intéresse à la population dans son ensemble et non uniquement aux enfants, les études ont montré en France qu’il n’y avait aucune corrélation entre les départements présentant le plus de retombées dues à Tchernobyl (globalement toute la région Est de l’Hexagone) et ceux connaissant les plus forts taux de diagnostics de cancers de la thyroïde (Vendée, Marne, Tarn). Le Haut-Rhin connaît même le taux le plus faible !
La Corse a notamment cristallisé les soupçons, car l’impact du nuage y a été parmi les plus forts en termes de radioactivité et on a pu noter, pour certaines périodes, des pics de cancers. Mais l’hétérogénéité spatiale et temporelle des cas de cancers de la thyroïde sur toute la France ne permet pas non plus de conclure à une incidence exceptionnelle en Corse. […]
Le 06/01/2016 à 18h19
Le 06/01/2016 à 18h21
Le 06/01/2016 à 18h29
Le 06/01/2016 à 18h33
Le 06/01/2016 à 18h47
Le 06/01/2016 à 18h50
Le 06/01/2016 à 18h54
Le 06/01/2016 à 18h55
Le 06/01/2016 à 19h30
j’ai adoré relire quelques mots de russe.
je vais m’y remettre!!!
nos futurs maitres de demain (forcement,le futur toussa…)
Le 06/01/2016 à 21h08
Le 07/01/2016 à 08h23
Le 07/01/2016 à 10h06
Le 07/01/2016 à 10h15
A ceux qui disent “ordi sous windows avec office et relié sur internet”…
Les postes des personnes qui travaillent sur les serveurs (qui ne sont évidemment pas sous windows) sont bien sûr sous Windows. Ils y a plusieurs niveaux de réseau, certains accessible par VPN depuis n’importe quelle connexion internent, d’autres accessible (toujours par VPN) uniquement depuis le réseau interne de l’entreprise.
Ensuite, il faut bien comprendre qu’une partie des applications sensibles passent forcément par internet : par exemple une personne habilitée à rentrer sur l’ensemble des centrales : son habilitation est centralisée, donc il y a des communication entre le serveur central et chaque site sensible. Ils y a plusieurs types de données qui passent par internet (ex: prévisionnel, météo). Ces données sont sensibles (car des données erronées peuvent amener à réduire / arrêter la production, ou interrompre des opérations de maintenance en attendant des données), mais ne sont pas critiques : elles ne risque pas un incident nucléaire : tout ce qui est critique est gérer directement sur le site de la centrale.
Normalement, pour tout ce qui est sensible, il y a une procédure de reprise lorsque le réseau à des problèmes (attaque informatique, incendie sur la salle réseau, etc). Donc une attaque informatique peut effectivement interférer sur la production, mais seulement le temps de reconstruire le réseau, soit quelques heures.
Donc oui, les centrales ont un accès à internet, mais pas les applications critiques. Et enfin, pour tout ce qui est sensible, les données passent par des bus d’échange avec validation des données, et supervision jusqu’à H24 pour les plus sensible.
Le 07/01/2016 à 12h38
Le 07/01/2016 à 12h45
Le 06/01/2016 à 11h11
Fallait pas cliquer sur “Vladimir.exe” " />
Le 06/01/2016 à 11h25
Il y a donc bien des boîtes qui connectent des éléments critiques à leur réseau bureautique. " />
Le 06/01/2016 à 11h29
Fallais pas cliquer sur “ CIA destructeur d’Etat.exe”
Le 06/01/2016 à 11h52
Prykarpattyaoblenergo
A tes souhaits " />
Le 06/01/2016 à 12h08
L’interface clavier chaise mal configurer." />
Le 06/01/2016 à 12h13
Depuis que j’ai lu ce truc, j’ai vachement moins de compassion pour l’Ukraine dans le conflit qui l’oppose à la Russie. Dire qu’on a envisager de laisser rentrer dans l’Europe un pays qui pense que Prykarpattyaoblenergo peut être un nom…
Bon, Vlad, c’est quand que tu rases tout ça pour faire passer tes oléoducs ?
Le 06/01/2016 à 12h21
Tchernobyl c’était où déjà?
Le 06/01/2016 à 12h30
J’ai pas trouvé le bouton signalé :
Toujours selon ESET, BlackEnergy a reçu récemment une nouvelle mise à
jour, ajoutant cette [fois] un composant nommé KillDisk (dont le nom parle de
lui-même) ainsi qu’un utilitaire SSH masqué permettant de garder le
contrôle sur la machine.
Sinon article très intéressant qui montre encore une fois que l’utilisateur est à l’origine de 90% des attaques.
Le 06/01/2016 à 12h39
♪♫♪ C’est normal en Russie ♪♫♪
Le 06/01/2016 à 12h45
J’ai compris maintenant pourquoi mon smartphone Wiko est mort à mon retour de Kiev en 2013 !
" />" />" />" />" />
Sinon, ça me paraît douteux que des infrastructures critiques soient pilotées par des PC, surtout reliés à l’extérieur. Mais bon, c’est pas inenvisageable, j’en vois suffisamment des cas d’incompétence critique pour ne pas rejeter cette hypothèse…
Le 06/01/2016 à 12h49
Le 06/01/2016 à 12h53
Qu’est-ce qui vous fait croire que les SCADA était connecté à internet ?…
Le document office vérolé était là pour prendre le contrôle de la machine bureautique, qui ensuite allait vérolé les vecteurs d’infection hors ligne (disque dur USB…).
C’est du classique, la plupart des exploit kit prévoit ce genre de chose, celui de blackenergy le fait certainement aussi.
Le 06/01/2016 à 12h58
Le 06/01/2016 à 13h00
Bon, vous en voulez toujours des compteurs connecté que EDF va nous imposer? " />
Oui, là, ce n’est pas ce qui s’est passé, mais, diffuser un bot dans quelques millions d’installations électriques… la question n’est pas si cela arrivera un jour, mais plutôt qui et quand… vive la mode du tout connecté sur des équipements ultra sensibles!
Le 06/01/2016 à 13h23
Pourquoi l’être humain agit ainsi, je ne le comprend pas…
Le 06/01/2016 à 13h25
Le 06/01/2016 à 11h10
mais pourquoi ces ordinateur se retrouvent accessibles depuis l’extérieur? si l’attaque provient de macro dans des docs, cela veut dire que le vecteur est soit le mail par PJ, soit le DL via phishing par mail.
donc ça veut dire que leur système de détection de menace ne fonctionne pas, et que les utilisateurs ouvrent n’importe quoi et activent les macro sans savoir le danger que cela représente.
de grosses lacunes dans une système pourtant critique!
Le 06/01/2016 à 15h13
Le 06/01/2016 à 15h13
Le 06/01/2016 à 15h15
Le 06/01/2016 à 15h19
Tu as illuminé ma journée. J’ai rigolé comme un con dans l’open space quand j’ai écouté la prononciation sur wikipedia.
Le 06/01/2016 à 15h29
Le 06/01/2016 à 15h29
Le 06/01/2016 à 15h31
Le 06/01/2016 à 15h34
Le 06/01/2016 à 15h40
Je te laisse imaginer la gueule du chaos en cas de coupure électrique générale, et en combien de temps il pourrait survenir.
Idéal pour foutre en l’air un pays concurrent, ou comme représailles…
Le 06/01/2016 à 15h41
Même réponse: coupe le jus de quelques millions de personnes, et laisse mijoter.
Le 06/01/2016 à 15h42
Le 06/01/2016 à 15h43
Honnêtement, là, aucune idée. Le soucis est la propagation. Planter un immeuble, ce n’est pas trop grave. Planter tout un secteur de desserte (genre, au pif, la région parisienne) là, par contre… ;)
Le 06/01/2016 à 15h46
Le 06/01/2016 à 15h48
Le 06/01/2016 à 15h56
Le 06/01/2016 à 15h56
Le 06/01/2016 à 13h25
Le 06/01/2016 à 13h44
Il a du avoir une mise a jour pour fonctionner a la maniere de Tuxnet …
mais en fait non il est arrivé la par hasard xD
par contre pour cacher la verité (sur leur incompetance …) ils vont accuser la Russie
ce qui me fait le plus peur dans tout ca c’est que ce sont les systemes primaires qui ont du etre touchés
que ce serait il passé si les systemes de refroidissement d’une centrale Nuke seraient tombés en panne …
pas question qu’ils nous refassent le coup du nuage qui s’arrete a nos frontieres … :/
(quoi que .. bien capables)
Le 06/01/2016 à 13h45
Le 06/01/2016 à 13h46
Heureusement que la Nouvelle Zélande n’est pas en Europe, sinon on aurait du se coltiner Taumatawhakatangihangakoauauotamateaturipukakapikimaungahoronukupokaiwhenuakitanatahu en plus " />
Le 06/01/2016 à 14h11
Plus facile à l’écrit qu’à l’oral." />
Le 06/01/2016 à 14h14
Le 06/01/2016 à 14h21
Toujours la même histoire avec les budgets relatifs à la sécurité. Ils sont débloqués suite à un incident majeur et on ne compte pas les sociétés sans PCA non plus…
Ça me rappelle la phrase d’un ancien collègue “Quand tout se passe bien s’est à peine si les gens savent que la sécurité existe. Quand ça se passe mal, c’est à peine si les gens savent qu’autre chose mis à part la sécurité existe et surtout savent qu’elle n’a pas fait son travail.”
Le 06/01/2016 à 14h25
C’est pour ça que ce jour là je n’ai pas entendu Cyka Blyat sur CS GO?
:d
Le 06/01/2016 à 14h29
Est-ce que ça pourrait fonctionner s’il y a un réseau “Air Gap” et qu’on drone est utilisé pour diffusé le malware via des ondes ou autres. J’ai cru comprendre que c’était faisable de diffuser des malwares ou autres via des ondes radio mais il doit falloir un capteur quelque part " />
Le 06/01/2016 à 14h43
Donc des PCs gérant des infrastructures critiquent se retrouvent connectés à internet, sous Windows avec Office 2007 et avec des utilisateurs qui installent n’importe quoi. Sympa… " />
Le 06/01/2016 à 14h44
Prykarpattyaoblenergo
Oui et heu… j’ai pas réussi à lire le truc " />
Le 06/01/2016 à 14h48
Le 06/01/2016 à 15h01
Le 06/01/2016 à 15h04
Le 06/01/2016 à 15h09
Le 06/01/2016 à 15h11