Attaque contre le réseau électrique ukrainien — Industroyer (2016)

Juste avant minuit, le 17 décembre 2016, un unique poste de transmission au nord de Kyiv s'est éteint, coupant l'électricité d'environ un cinquième de la capitale ukrainienne pendant près d'une heure. La panne fut brève, mais le logiciel malveillant à son origine — Industroyer, également appelé CrashOverride — s'est révélé être le premier logiciel malveillant jamais conçu spécifiquement pour attaquer les réseaux électriques.

Ce qui s'est passé

La cible était le poste de transmission Pivnichna (« Nord ») d'Ukrenergo. Contrairement à l'attaque de 2015, où les opérateurs de Sandworm avaient manuellement actionné des consoles d'opérateur détournées, l'incident de 2016 a été piloté par un logiciel malveillant automatisé et spécialement conçu. Industroyer était capable de dialoguer directement avec les protocoles industriels des équipements du réseau — IEC 60870-5-101 et 104, IEC 61850 et OPC Data Access —, lui permettant d'émettre des commandes d'ouverture de disjoncteurs sans avoir à comprendre le logiciel propre à chaque exploitant.

Industroyer était un cadriciel modulaire : une porte dérobée principale, un lanceur, quatre modules de charge utile spécifiques aux protocoles, un composant d'effacement de données pour effacer la configuration et rendre les systèmes non amorçables, et un module de déni de service exploitant CVE-2015-5374 dans les relais de protection Siemens SIPROTEC afin de les maintenir hors ligne pendant l'attaque. La conception laissait penser qu'il pouvait être reciblé sur d'autres réseaux moyennant une reconfiguration modeste.

Impact

• Environ 20 % de Kyiv a perdu l'électricité pendant une heure environ.
• La panne en elle-même fut courte, mais les analystes ont estimé que l'opération pouvait être un test ou une démonstration de faisabilité pour une arme réutilisable de sabotage de réseau.
• Les composants d'effacement et de déni de service SIPROTEC étaient conçus pour compliquer et retarder la reprise, préfigurant des attaques futures plus dommageables.

Attribution

Les chercheurs d'ESET et de Dragos (qui suivait l'acteur sous le nom d'ELECTRUM) ont relié l'opération à Sandworm, l'unité 74455 du GRU russe — le même groupe à l'origine de l'attaque du réseau de 2015 et plus tard de NotPetya. La réutilisation d'infrastructures et de techniques entre les opérations de 2015 et 2016 a renforcé l'attribution au renseignement militaire russe.

Pourquoi c'est important

Là où 2015 a montré que des humains pouvaient détourner un réseau, 2016 a montré qu'un logiciel malveillant pouvait le faire de manière autonome et à grande échelle. La conception d'Industroyer, native des protocoles, le rendait potentiellement transposable aux réseaux d'Europe et d'Amérique du Nord, puisque les normes IEC et OPC visées sont utilisées dans le monde entier. Il a redéfini le modèle de menace pour les défenseurs des technologies opérationnelles et est devenu l'ancêtre direct d'Industroyer2, que Sandworm a déployé contre un fournisseur d'énergie ukrainien en avril 2022 pendant l'invasion à grande échelle — une attaque que les intervenants ukrainiens et d'ESET ont déjouée de justesse.