Stuxnet

Il a été signalé pour la première fois par la société de sécurité VirusBlokAda mi-juin 2010, et des antécédents ont été retracés jusqu’à juin 2009.

Le virus s’attaque aux systèmes Windows à l’aide de quatre attaques « zero day » (y compris la vulnérabilité CPLINK (en) et la vulnérabilité exploitée par le ver Conficker) et vise les systèmes utilisant les logiciels SCADA WinCC/PCS 7 de Siemens.

Le virus est probablement inoculé par la mise à jour d'un virus déjà installé sur les ordinateurs cibles ; il contamine ensuite d’autres ordinateurs WinCC du réseau à l’aide d’autres défauts natifs de structure des systèmes (exploits). Une fois dans le système, il utilise les mots de passe par défaut pour faire des requêtes au logiciel[7]. Siemens déconseille cependant de changer les mots de passe par défaut car « cela pourrait affecter le bon fonctionnement de l’usine »[10].

La complexité du ver est inhabituelle pour un malware : l’attaque demande des connaissances en procédés industriels et en failles de Windows à un moment donné, et marque la volonté de perturber des infrastructures industrielles[7] - [6]. Le nombre d’exploits Windows « zero day » utilisés est également inhabituel : ces exploits non découverts, rares et précieux, ne sont en effet pas normalement gaspillés par les pirates au point d'en mobiliser quatre dans le même ver[11]. Stuxnet a une taille d’un demi-mégaoctet et est écrit dans différents langages de programmation (y compris C et C++) ce qui est également peu courant pour un malware[7] - [6].

Carte des principales installations nucléaires iraniennes.

Un porte-parole de Siemens a indiqué que le ver avait été trouvé sur 15 systèmes dont 5 sont situés en Allemagne dans des usines abritant des systèmes de contrôle de processus industriels. Siemens indique qu’aucune infection active n’a été découverte et qu’aucun dommage causé par le ver n’a été signalé[12]. Symantec indique que la plupart des systèmes infectés sont en Iran[13] (près de 30 000 sur 45 000 ordinateurs infectés[14]), ce qui a conduit à penser qu’il avait pu viser délibérément une « infrastructure de grande valeur » en Iran, vraisemblablement liée au programme de recherche nucléaire[11]. Ralph Langner, un chercheur en cyber sécurité allemand, indique que la cible visée a probablement été atteinte[15].

L'Iran a accusé un État ou une organisation étrangère de l'avoir délibérément visé[9]. L'analyste Bruce Schneier a qualifié d'intéressante l'hypothèse selon laquelle la centrale nucléaire de Bouchehr aurait été visée, tout en considérant qu'il manquait de preuves[16]. L'Iran a indiqué que dans la mesure où les ordinateurs d'employés de la centrale avaient été touchés, la centrale l'avait aussi été[9]. Début octobre 2010, à l'occasion d'un article sur l'Unité 8200, section elle-même de l'Aman, le service de renseignement militaire israélien, Le Figaro écrivait :

« Des indices découverts dans les algorithmes du programme Stuxnet, ayant infecté, entre autres, les systèmes informatiques iraniens, feraient référence à l'héroïne biblique Esther. Les liens éventuels entre cette offensive virtuelle et Israël ne seront sans doute jamais prouvés, mais la suspicion des milieux du renseignement est forte[17]. »

En novembre 2010, des chercheurs de Symantec et de Langner Communications ont affirmé que le ver visait les systèmes de contrôle des turbines à vapeur tels que ceux utilisés à la centrale nucléaire de Bouchehr et des éléments clés de centrifugeuses[18]. En effet, le virus aurait modifié à l'insu des opérateurs de la centrale les vitesses de rotation des centrifugeuses entraînant une dégradation de celles-ci[19] et des explosions[20]. Des chercheurs de Symantec avaient également indiqué auparavant que Stuxnet avait une date « de destruction » fixée au 24 juin 2012[16].

Le général israélien Gabi Ashkenazi a affirmé, lors de son départ à la retraite, être le responsable de l'attaque par le ver Stuxnet[21].

La Russie a dénoncé une coopération entre les États-Unis et Israël pour la création de ce ver et a déclaré que ce projet aurait pu aboutir à une catastrophe plus grande que celle de Tchernobyl. Elle a demandé à l'OTAN d'enquêter sur cette affaire[22]. Une enquête approfondie du New York Times confirme d'ailleurs cette hypothèse de coopération à fins malveillantes américano-israélienne[23].

En février 2011, Symantec publie une analyse complète de Stuxnet. Les spécialistes estiment qu'il a fallu six mois de développement et une équipe de cinq à dix personnes pour écrire le programme, dont au moins un ingénieur connaissant parfaitement les équipements industriels visés[24]. Microsoft, quant à lui, estime que le temps nécessaire pour créer Stuxnet a été de « 10 000 jours homme », sans compter l'équipe qui a volé les certificats Verisign de Realtek Semiconductor Corps et JMicron Technology Corp à Taïwan, ainsi qu'une équipe en Iran qui a vraisemblablement fourni les renseignements nécessaires à cette opération[24].

Le programme est très complexe et extrêmement bien écrit, ce qui montre une volonté hors du commun pour parvenir au but recherché, et exclut que ce soit le travail d'un groupe privé.

L'architecture du programme est très complète pour un ver informatique, elle comporte différentes parties :

Le 15 juillet 2010, Siemens met à disposition de ses clients un outil capable de détecter et de supprimer le ver[27].

Le 2 août 2010, Microsoft annonce le Bulletin de sécurité MS10-046[28].

Le 19 août 2010, un outil de suppression est mis à disposition par FSB Security Labs en France[29].

Le 8 octobre 2010, un outil de suppression est mis à disposition par BitDefender.

• (en) Kim Zetter (en), Countdown to Zero Day: Stuxnet and the Launch of the World's First Digital Weapon, Crown Publishing Group (en), 2014, (ISBN 978-0-77043-6179)