FrostyGoop

Les logiciels malveillants sont devenus un outil central dans les conflits modernes, servant souvent de méthode pour provoquer des perturbations importantes sans engagement physique direct. Ces dernières années, les cyberattaques ciblant les infrastructures critiques ont souligné l’importance de mesures de cybersécurité robustes pour se protéger contre de telles menaces.

Présentation de FrostyGoop

En janvier, un logiciel malveillant ciblant le protocole de communication industriel très utilisé Modbus a provoqué une perturbation majeure en Ukraine, entraînant une perte de chaleur de plus de 600 immeubles d'habitation pendant deux jours. Ce malware, nommé FrostyGoop par les chercheurs, exploite le protocole Modbus pour permettre aux attaquants de compromettre les systèmes contrôlés par l'industrie (ICS).

Découverte et attribution

Le Centre de situation de cybersécurité (CSSC), qui fait partie du service de sécurité ukrainien, a fourni des informations critiques qui ont aidé les experts en sécurité informatique à déterminer que FrostyGoop était responsable de la panne. Malgré l'identification du malware, son créateur reste inconnu et aucun acteur malveillant spécifique n'a été attribué à son développement. Les créateurs inconnus sont suivis sous l'identifiant TAT2024-24, faisant de FrostyGoop le neuvième logiciel malveillant axé sur ICS utilisé dans des attaques ou des perturbations.

Détails techniques et impact

FrostyGoop serait le premier malware ciblant ICS à utiliser le protocole Modbus pour provoquer des perturbations physiques dans la technologie opérationnelle (OT). Bien qu'elle ne soit pas particulièrement sophistiquée, la capacité du malware à cibler les infrastructures critiques met en évidence la concentration croissante des attaquants sur des systèmes et des protocoles autrefois obscurs, essentiels au fonctionnement de services publics comme l'électricité et l'eau.

Vecteur d'attaque et exécution

Les attaquants ont d'abord compromis les réseaux du fournisseur d'énergie municipal en exploitant une vulnérabilité dans un routeur Microtik environ dix mois avant l'attaque. Au cours des mois suivants, ils ont mené diverses activités préparatoires, notamment l’obtention des identifiants des utilisateurs. Quelques heures avant l'incident, des connexions provenant d'adresses IP basées à Moscou ont été détectées, indiquant la présence des attaquants sur le réseau.

Contexte plus large des cyberattaques

L'attaque FrostyGoop a coïncidé avec une cyberattaque à grande échelle en Ukraine qui a touché plusieurs entités clés, notamment la plus grande société pétrolière et gazière du pays et son service postal national. Cet effort coordonné suggère une stratégie psychologique visant à déstabiliser et démoraliser la population, en tirant parti des moyens cybernétiques au lieu des opérations cinétiques traditionnelles.

Comparaisons et signification

Même si FrostyGoop est relativement simple comparé à d’autres outils sophistiqués comme Pipedream, son efficacité à provoquer des perturbations démontre que même des attaques peu coûteuses peuvent avoir des impacts significatifs sur les systèmes industriels. Contrairement à Pipedream, qui s'apparente à Cobalt Strike dans sa complexité, la simplicité de FrostyGoop ne diminue en rien son danger.

Précédents historiques

La seule autre unité de piratage connue ayant un tel impact sur les infrastructures critiques de l'Ukraine est Sandworm, un groupe associé à la Direction principale du renseignement russe. Sandworm a ciblé à plusieurs reprises le réseau électrique ukrainien, la dernière fois en octobre 2022. Ce contexte souligne le paysage de menaces persistantes et évolutives auquel l'Ukraine est confrontée.

Mesures de sécurité pour la protection

Pour se protéger contre les infections par des logiciels malveillants comme FrostyGoop, les utilisateurs et les organisations doivent mettre en œuvre des mesures de cybersécurité complètes :

• Mises à jour régulières du système : assurez-vous que tous les logiciels, y compris les systèmes ICS, sont à jour avec les derniers correctifs de sécurité.
• Segmentation du réseau : isolez les réseaux ICS critiques des réseaux informatiques généraux pour limiter la propagation des logiciels malveillants.
• Gestion des vulnérabilités : effectuez régulièrement des évaluations de sécurité et corrigez rapidement toute vulnérabilité identifiée.
• Authentification forte : utilisez l'authentification multifacteur (MFA) pour sécuriser l'accès aux systèmes sensibles.
• Systèmes de détection d'intrusion (IDS) : déployez des IDS pour surveiller le trafic réseau à la recherche de signes d'activité suspecte.
• Formation des utilisateurs : sensibilisez les employés à l'importance de la cybersécurité et aux risques associés au phishing et autres attaques d'ingénierie sociale.

Conclusion

L'émergence de logiciels malveillants comme FrostyGoop souligne le besoin crucial de vigilance et de pratiques de cybersécurité robustes pour protéger les systèmes de contrôle industriel. En comprenant les menaces et en mettant en œuvre des mesures de sécurité efficaces, les utilisateurs peuvent mieux protéger leur infrastructure contre les cyberattaques susceptibles de provoquer des perturbations généralisées.