Attaque par wiper « MeteorExpress » contre les chemins de fer iraniens

Le 9 juillet 2021, le réseau ferroviaire national iranien a été paralysé par un maliciel destructeur jusque-là inconnu que les chercheurs ont nommé Meteor — une attaque surnommée « MeteorExpress » pour son alliage de sophistication technique et de provocation théâtrale.

Ce qui s'est passé

Le maliciel a déferlé sur les systèmes informatiques des Chemins de fer de la République islamique d'Iran et du ministère des Routes et du Développement urbain. Les panneaux d'affichage des gares ont été défigurés pour afficher des messages évoquant de « longs retards à cause d'une cyberattaque » et inviter les voyageurs à appeler le 64411 pour s'informer — le numéro de téléphone public du bureau du Guide suprême Ali Khamenei, une humiliation délibérée du régime. Le site du ministère a été mis hors ligne, et des centaines de trains ont été retardés ou annulés dans ce que les médias iraniens ont décrit comme un chaos sans précédent.

Le maliciel

Les analystes de SentinelLabs ont rétro-conçu une boîte à outils en trois parties déployée via des scripts batch et des archives RAR protégées par mot de passe (mot de passe hackemall) :

• Meteor — le wiper principal : il effaçait le système de fichiers selon une configuration chiffrée, supprimait les clichés instantanés pour bloquer la récupération, détachait les machines du domaine Windows, corrompait les secteurs d'amorçage et changeait les mots de passe.
• mssetup.exe — un verrouilleur d'écran qui figeait les postes de travail.
• nti.exe — un composant qui corrompait le secteur d'amorçage maître (MBR), rendant les machines non amorçables.

Le binaire Meteor avait été compilé le 17 janvier 2021, soit environ six mois avant son déploiement, et présentait des signes de conception pour la réutilisation — suggérant une opération délibérée et bien dotée plutôt qu'un crime opportuniste.

Conséquences

• Les opérations ferroviaires de l'Iran ont été perturbées à l'échelle nationale ; des trains ont été immobilisés, retardés ou annulés.
• Les machines touchées ont été effacées et rendues non amorçables, imposant une récupération manuelle.
• Il s'agissait d'un incident destructeur — non d'un rançongiciel — sans exfiltration de données ni rançon : l'objectif était la perturbation et l'embarras politique.

Attribution

SentinelLabs n'a d'abord pu rattacher Meteor à aucun acteur connu. Des recherches ultérieures de Check Point ont relié l'opération à un persona hacktiviste nommé « Indra », qui avait déjà visé des entités alignées sur l'Iran en Syrie, suggérant un acteur anti-régime plutôt qu'un État-nation — bien que l'attribution reste non confirmée. L'attaque s'inscrivait dans une vague plus large de frappes contre les infrastructures iraniennes associées par la suite au groupe Predatory Sparrow.

Pourquoi c'est important

MeteorExpress a démontré qu'un unique wiper sur mesure pouvait paralyser le système ferroviaire d'une nation et que les attaquants associaient de plus en plus destruction et opérations psychologiques — raillant directement la direction iranienne sur des infrastructures publiques. Elle est devenue un modèle pour les campagnes de perturbation d'infrastructures qui frapperaient le réseau de carburant et les aciéries de l'Iran au cours de l'année suivante.