Stuxnet, une cyber-arme lourde à l’assaut du programme nucléaire iranien

Un investissement énorme pour un seul virus

A première vue, le petit programme ressemble aux centaines d’autres malwares qui sont découverts chaque année alors qu’ils se propagent d’ordinateur à ordinateur comme une épidémie. Avec toutefois un détail remarquable : ce virus utilise une faille dans Windows inconnue jusqu’à ce jour (zero day exploit dans le jargon), donc qui n’a pas encore pu être patchée par une mise à jour.

Or ce type de virus, qui s’installe à partir d’une clé USB infectée et prend le contrôle de l’ordinateur à l’insu de l’utilisateur (on l’appelle pour cette raison un "cheval de Troie"), utilise normalement des failles anciennes et connues du système d’exploitation. Cela fonctionne donc seulement chez les personnes qui ne font pas régulièrement les mises à jour de sécurité, mais c’est en général satisfaisant pour les cybercriminels qui cherchent à collecter par exemple des informations bancaires. En effet, les failles publiques sont gratuites... Alors que pour un zero day exploit, qui permet de réussir une attaque à coup sûr et qu’on ne trouve que très rarement, le prix se négocie en centaines de milliers de dollars. Les acheteurs potentiels ne peuvent donc être que le fabricant du logiciel concerné... ou des organismes gouvernementaux. De quoi éveiller la curiosité de nos experts en sécurité...

L’analyse du cheval de Troie montre qu’il se comporte comme une poupée russe : une fois entré sur l’ordinateur depuis la clé USB, une autre couche du virus devient active et installe un petit programme au coeur du système par le moyen d’une faille de sécurité. Et ainsi de suite... Les experts ont ainsi mis à jour 4 zero day exploit. De plus, deux signatures numériques volées ont été trouvées. Normalement, pour des fabricants de composants logiciels sensibles qui s’installent près du coeur du système d’exploitation (comme des pilotes pour cartes graphiques), ces signatures permettent de certifier qu’un logiciel est inoffensif. Les signatures volées chez deux fabricants taïwanais ont donc permis au virus de se faire passer pour inoffensif afin de s’infiltrer dans le système.

Avec un tel investissement pour un virus, on peut exclure les cybercriminels comme auteurs potentiels. Il reste les Etats... Mais pour quoi une telle artillerie lourde pourrait-elle bien être utilisée ? A ce sujet, le coeur du virus livre des informations intéressantes : il contient un programme de manipulation ciblée d’installations industrielles. Les processus industriels dans les raffineries, usines et autres centrales sont très complexes et pour cette raison surveillés par ordinateur pour que les valeurs des températures, pressions et compositions chimiques contrôlées restent dans des plages de sécurité à respecter. Une erreur peut conduire au désastre. Ces systèmes de contrôle informatiques sont constitués d’un réseau très personnalisé de centaines de composants. Pour revenir au virus, il a vraisemblablement été développé pour s’attaquer à un type particulier d’installation industrielle équipée par Siemens. Sur d’autres installations infectées par le cheval de Troie, il ne se passerait rien. Il s’agit donc d’une attaque qui nécessite des informations très précises sur l’installation industrielle ciblée.

Une chaîne d’indices fascinante

A ce stade, l’analyse suggère que des services secrets gouvernementaux ont développé ce virus pour attaquer des installation industrielles. Mais quelle est la cible exacte de cette attaque ? Là encore, même si on se fonde souvent sur des coïncidences et des rumeurs, une chaîne d’indices fascinante nous donne une piste bien précise... On apprend ainsi que :

• 60 % des infections par stuxnet ont été enregistrées en Iran.
• alors que le cheval de Troie a été programmé pour arrêter de se répandre en janvier 2009, sa propagation s’est poursuivie sur des ordinateurs dont la date était incorrecte (une astuce pour continuer à utiliser des logiciels dont les licences sont limitées dans le temps...), ce qui a permis de le découvrir.
• Wikileaks a publié en juillet 2009 une note selon laquelle un accident nucléaire se serait produit en Iran, à Natanz. Les centrifugeuses de Natanz enrichissent une grande partie de l’uranium iranien.
• au même moment, la BBC annonce que le chef de l’autorité de l’énergie atomique iranienne, Gholam Reza Aghazadeh, a démissionné de son poste.
• des statistiques collectées par l’agence internationale de l’énergie atomique indiquent une nette diminution du nombre de centrifugeuses d’enrichissement effectivement exploitées en Iran.

De plus, on sait que les Iraniens utilisent beaucoup l’équipement de contrôle industriel vendu par Siemens. Sachant que cela fait des années que les services secrets occidentaux s’efforcent de ralentir le programme nucléaire iranien par tous les moyens, il n’y a qu’un pas pour faire le rapprochement avec stuxnet et les événements sus-cités.

Reste à savoir comment les auteurs du virus ont rassemblé des informations suffisamment précises pour que l’attaque puisse réussir. On peut imaginer des informateurs iraniens qui sont passés dans le "camp occidental" ou des agents secrets infiltrés sur place. Il fallait en tout cas avoir accès physiquement aux ordinateurs des centrales nucléaires visées pour y brancher une clé USB contenant le virus.

Le virus stuxnet pourrait donc bien entrer dans l’Histoire comme la première cyber-arme utilisée par un Etat... De quoi faire rêver les amateurs d’histoires d’agents secrets à la James Bond !