Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

GreyEnergy – Une menace ciblant les infrastructures industrielles critiques

Je ne sais pas si vous vous souvenez, mais le 23 décembre 2015, environ 230 000 Ukrainiens ont été plongés dans le noir suite à une coupure d’électricité gigantesque.

La particularité de cette coupure de courant est qu’elle a été provoquée par un malware identifié sous le nom de BlackEnergy.

Ce cheval de Troie découvert la première fois en 2007 était, à l’origine, capable de faire du DDoS, du renseignement et des attaques destructrices. Puis vers 2014, il a été enrichi de modules permettant de cibler SCADA et ainsi prendre la main sur les systèmes de contrôle industriels (ICS).

Logo de GreyEnergy

Transmis à l’aide de phishing et infectant le réseau du fournisseur d’énergie ukrainien, Prykarpattya Oblenergo, BlackEnergy a été pris très au sérieux par les enquêteurs. C’est la première fois qu’un malware avait un tel impact stratégique sur la population d’un pays.

Peu après BlackEnergy, ce fut au tour du malware Industroyer de frapper, provoquant une seconde coupure majeure de courant dans la capitale ukrainienne en 2016. Au même moment, apparaissait alors un groupe d’APT (Advanced Persistent Threat) baptisé TeleBots.

TeleBots est aussi connu notamment pour être à l’origine du malware KillDisk qui a frappé plusieurs institutions financières, mais aussi, d’après ESET, à l’origine de NotPetya qui a paralysé de nombreuses entreprises en 2017 (Fedex, Merck, Maersk mais aussi Durex) provoquant pour un total de 10 milliards de dollars de dégâts.

Mais là où il y a du neuf, c’est que TeleBots est aussi, d’après ESET, à la source d’un malware baptisé GreyEnergy, semblable à BlackEnergy, c’est-à-dire capable de frapper les systèmes de contrôle industriels, mais avec beaucoup plus de furtivité.

GreyEnergy a déjà été remarqué lors de plusieurs attaques en Ukraine et en Pologne durant ces 3 dernières années. Il fonctionne, comme BlackEnergy, à l’aide de modules qui se chargent à la demande en fonction des besoins, parfois uniquement en mémoire, et qui peuvent disparaitre sans laisser de traces.

Une centrale électrique industrielle

Les modules identifiés sont, pour le moment, utilisés à des fins d’espionnage (backdoor, extraction de fichiers, captures écran, keylogger, vols de mot de passe…etc.), mais ESET indique que les similitudes de GreyEnergy avec BlackEnergy et Industroyer, indiquent que celui-ci aurait été mis au point avec TeleBots.

De plus, le panel de machines ciblées qui sont pour la majorité des systèmes ICS avec SCADA, laisse fortement supposer l’arrivée prochaine de modules permettant de cibler les systèmes industriels.

GreyEnergy se transmet grâce à du spearphishing (hameçonnage ciblé), de la compromission de sites web publics et utilise du code et une architecture logicielle semblable à celle de BlackEnergy et d’autres malwares du groupe TeleBots.

GreyEnergy utilise des outils externes comme PsExec, WinExe, Nmap ou encore Mimikatz pour se déployer et faire sa collecte de renseignement. De plus, chaque serveur C&C (Control & Command) de GreyEnergy est un relai Tor actif tout comme l’étaient les serveurs C&C de BlackEnergy.

Diagramme montrant les différentes vulnérabilités exploitées par GreyEnergy

Bref, une belle saloperie qui, lorsqu’elle sera pleinement active, mettra probablement à genoux de nouveaux systèmes industriels.

Et là on peut tout imaginer : Usines, systèmes électriques, systèmes de gestion des infrastructures de transport, systèmes de distribution d’eau, centrales nucléaires…etc.

La seule question à laquelle le livre blanc de ESET ne répond pas, c’est : Quand ?

Source

Que faire après le bac quand on est passionné de cybersécurité ?

Entièrement dédiée à la cybersécurité, l’école Guardia est accessible soit directement après le bac (post-bac), soit après un bac+2 ou bac+3. En rejoignant l’école Guardia, vous deviendrez développeur informatique option cybersécurité (Bac+3) ou expert en cybersécurité (Bac+5).

Cliquez ici pour en savoir plus

Lien sponsorisé


Des idées pour vos menus (+ 10 € de réduction sur vos prochaines courses)

Jow est une application iOS et Android ainsi qu’un site web, qui propose des menus délicieux et rapide à réaliser. L’application se connecte à votre magasin préféré (Carrefour, Auchan, E. Leclerc…etc.) et génère la liste de vos courses tout en vous proposant des réductions.

Jow c’est top si :

  • Vous cherchez sans cesse des idées de menu
  • Vous voulez gagner du temps avec vos courses
  • Vous souhaitez manger plus équilibré
  • Vous voulez éviter le gâchis alimentaire
  • Vous aimez vous partager des photos de vos créations culinaires sur les réseaux

10 € de réduction sur vos prochaines courses

Et comme une bonne nouvelle n’arrive jamais seule, si vous créez votre compte sur Jow en passant par ce lien, vous profiterez de 10 € de réduction sur vos courses avec ce code promo :

2LE2QR

Quand on voit le coût de la vie, ça ne se refuse pas.

Bon ap !

Lien affilié

Les articles du moment