Attaque par effaceur WhisperGate

Le 13 janvier 2022, six semaines avant l'invasion à grande échelle de la Russie, un logiciel malveillant destructeur appelé WhisperGate a frappé des dizaines d'organisations gouvernementales, informatiques et associatives ukrainiennes. Déguisé en rançongiciel mais conçu uniquement pour détruire, il est devenu l'une des premières salves cyber de la guerre.

Ce qui s'est passé

WhisperGate était un effaceur du secteur d'amorçage maître (MBR) en plusieurs étapes. La première étape écrasait le MBR des machines infectées avec une fausse note de rançon réclamant 10 000 $ en Bitcoin — mais le logiciel malveillant n'avait aucun mécanisme de récupération, faisant de la « rançon » une supercherie. Les étapes ultérieures, déployées depuis un lien CDN de Discord, téléchargeaient un corrupteur de fichiers qui recherchait 191 extensions de fichiers et en écrasait le contenu avec des données fixes, rendant documents et systèmes irrécupérables.

En parallèle, les attaquants ont défiguré environ 70 sites web gouvernementaux ukrainiens, dont ceux du Cabinet des ministres, du ministère des Affaires étrangères, du Trésor public et du portail d'administration en ligne Diia, affichant des messages menaçants enjoignant aux Ukrainiens d'« avoir peur et de s'attendre au pire ».

Impact

• Des dizaines d'organisations ukrainiennes des secteurs gouvernemental, informatique et associatif ont vu leurs systèmes effacés ou corrompus.
• Environ 70 sites web gouvernementaux ont été défigurés ou mis hors ligne dans l'opération coordonnée.
• Comme WhisperGate se faisait passer pour un rançongiciel, le triage initial risquait de le mal classer ; en réalité, la reprise nécessitait des reconstructions complètes à partir de sauvegardes, et non un déchiffrement.

Attribution

Microsoft a d'abord suivi l'opération sous le nom de DEV-0586, plus tard nommée Cadet Blizzard. En juin 2023, le ministère américain de la Justice a inculpé des officiers du GRU russe (liés à l'unité 29155) et des civils complices pour la campagne WhisperGate, l'attribuant formellement au renseignement militaire russe. L'opération était distincte de — bien que contemporaine de — l'activité de Sandworm, reflétant plusieurs unités du GRU opérant contre l'Ukraine.

Pourquoi c'est important

WhisperGate a établi le scénario de l'effaceur déguisé en rançongiciel qui se reproduirait tout au long de l'invasion de 2022, notamment avec les frappes HermeticWiper et IsaacWiper quelques jours avant le franchissement de la frontière par les chars. Il a démontré que le cadrage en faux rançongiciel pouvait semer la confusion et retarder l'attribution tout en infligeant une destruction pure. En tant qu'avertissement précoce de logiciels malveillants destructeurs de niveau étatique, il a déclenché les recommandations « Shields Up » de la CISA et un réexamen mondial de la résilience face aux effaceurs, de l'intégrité des sauvegardes et des hypothèses de réponse aux incidents pour des organisations bien au-delà de l'Ukraine.