Attaques du wiper Shamoon 2 contre le gouvernement saoudien

À partir de la soirée du 17 novembre 2016, une version réactivée du logiciel d'effacement Shamoon — également connu sous le nom de Disttrack — a ravagé les ordinateurs de plusieurs organismes gouvernementaux saoudiens, au premier rang desquels l'Autorité générale de l'aviation civile (GACA). La campagne, baptisée Shamoon 2, a marqué le retour de la même famille de logiciels malveillants qui avait paralysé Saudi Aramco en 2012.

Ce qui s'est passé

Le logiciel malveillant était préconfiguré avec une heure de déclenchement codée en dur. À 20h45, heure locale, le 17 novembre, les machines infectées ont commencé à écraser les fichiers puis à détruire le secteur d'amorçage (MBR), rendant les systèmes incapables de redémarrer. Là où le Shamoon de 2012 affichait un drapeau américain en flammes, Shamoon 2 a écrasé les fichiers avec la photographie d'Alan Kurdi, le bambin syrien noyé dont l'image est devenue un symbole de la crise des réfugiés — un message apparemment politique.

Les analystes de l'Unit 42 de Palo Alto Networks ont identifié au moins trois vagues : les 17 novembre 2016, 29 novembre 2016 et 23 janvier 2017. Les attaquants ont utilisé des identifiants de domaine légitimes — probablement récoltés lors d'intrusions antérieures — pour se propager latéralement, et une vague ultérieure a spécifiquement ciblé l'infrastructure de bureaux virtuels (VDI) Huawei, intégrant des identifiants administrateur codés en dur pour effacer même les environnements virtualisés.

Impact

• Des milliers d'ordinateurs auraient été détruits au siège de la GACA, avec des données effacées et des opérations perturbées pendant plusieurs jours.
• Plusieurs autres organismes gouvernementaux et civils saoudiens, dont des agences liées au travail et aux transports, ont été touchés au fil des trois vagues.
• La GACA a publiquement minimisé l'impact, déclarant que seuls les systèmes administratifs de bureau — et non les systèmes de sécurité aérienne ou de contrôle du trafic — avaient été touchés.
• Shamoon étant purement destructeur, il n'y a eu ni exfiltration de données ni rançon ; l'objectif était la perturbation et le sabotage.

Attribution

La famille Shamoon est largement attribuée par les gouvernements et chercheurs occidentaux à des acteurs étatiques iraniens, les campagnes étant reliées aux groupes suivis sous les noms d'APT33 et OilRig. Les recherches de Kaspersky ont rattaché les vagues de 2016-2017 à un wiper parallèle plus avancé baptisé StoneDrill, concluant que les deux opérations partageaient les mêmes intérêts tout en étant menées par des acteurs distincts. Aucun individu n'a jamais été inculpé.

Pourquoi c'est important

Shamoon 2 a confirmé que l'attaque de 2012 contre Aramco n'était pas un cas isolé mais l'ouverture d'une campagne soutenue de wipers contre le Golfe. Elle a démontré qu'un logiciel destructeur pouvait être ré-armé des années plus tard, programmé pour exploser en masse, et conçu pour atteindre l'infrastructure virtualisée — poussant l'Arabie saoudite à accélérer la création de son Autorité nationale de cybersécurité en 2017 et à renforcer les terminaux gouvernementaux dans tout le royaume.