Points clés de la nouvelle recherche ESET :

· Les chercheurs d’ESET ont collaboré avec le CERT-UA pour analyser l’attaque contre la société d’énergie ukrainienne.

· Les actions destructives étaient prévues pour le 8 avril 2022 mais les artefacts suggèrent que l’attaque était planifiée depuis au moins deux semaines

· L’attaque a utilisé des logiciels malveillants utilisant le langage des ICS et des nettoyeurs de disque pour les systèmes d’exploitation Windows, Linux et Solaris.

· ESET estime avec une confiance élevée que les attaquants ont utilisé une nouvelle version du logiciel malveillant Industroyer, qui a été utilisé en 2016 pour couper l’électricité en Ukraine.

· Nous estimons avec une grande confiance que le groupe APT Sandworm est responsable de cette nouvelle attaque.

Industroyer2 : nouvelle attaque contre la production d’énergie

Les chercheurs d’ESET ont répondu à un cyber-incident affectant un fournisseur d’énergie en Ukraine. Les chercheurs ESET ont travaillé en étroite collaboration avec le CERT-UA afin de remédier et de protéger ce réseau d’infrastructure critique.

La collaboration a abouti à la découverte d’une nouvelle variante du malware Industroyer, qu’ils ont nommé Industroyer2 avec le CERT-UA. Industroyer est un malware tristement célèbre qui a été utilisé en 2016 par le groupe APT Sandworm pour couper le courant en Ukraine.

Ici, les attaquants du mode opératiore Sandworm ont fait une tentative de déploiement du malware Industroyer2 contre des sous-stations électriques à haute tension en Ukraine.

Outre Industroyer2, Sandworm a utilisé plusieurs familles de malwares destructeurs, dont CaddyWiper, ORCSHRED, SOLOSHRED et AWFULSHRED. ESET avait découvert CaddyWiper le 14 mars 2022 lorsqu’il a été utilisé contre une banque ukrainienne. Une variante de CaddyWiper a de nouveau été utilisée le 8 avril à 14:58 contre le fournisseur d’énergie ukrainien.

À ce stade, les chercheurs ne savent pas encore comment les attaquants ont compromis la victime initiale ni comment ils sont passés du réseau informatique au réseau de systèmes de contrôle industriel (ICS). Le schéma 1 présente une vue d’ensemble des différents logiciels malveillants utilisés dans cette attaque.