Utrecht, le 15 juin 2017 – Les auteurs derrière une vague récente d’attaques de phishing et d’interception de paiements sur des entreprises industrielles dérobent également des plans opérationnels et de projets de leurs victimes, ainsi que des schémas de réseaux électriques et informatiques. C’est ce qui ressort d’un rapport de l’Industrial Control Systems Cyber Emergency Response Team (ICS CERT) de Kaspersky Lab. Un résultat surprenant, étant donné que les pirates ne visaient pas jusqu’alors ce genre d’informations pour leurs pratiques de trafic. Cela suscite dès lors plusieurs questions préoccupantes concernant les objectifs futurs des cybercriminels.

Les attaques Business Email Compromise (BEC) sont souvent associées au Nigéria. En octobre 2016, les chercheurs de Kaspersky Lab ont observé un pic considérable dans le nombre des tentatives d’infection avec des maliciels, axées sur des clients industriels. Ils ont identifié plus de 500 entreprises attaqués dans 50 pays, principalement des entreprises industrielles et de grandes sociétés de transport et de logistique. Ces attaques sont toujours en cours.

La phase d’attaque

La phase d’attaque commence par un e-mail de phishing soigneusement préparé, qui semble provenir de fournisseurs, clients, organisations commerciales ou services de livraison. Les attaquants utilisent des maliciels appartenant à au moins huit familles différentes de chevaux de Troie espions et backdoor. Tous sont disponibles à bas prix au marché noir et principalement développés pour voler des données confidentielles et installer des programmes de gestion externes sur des systèmes contaminés.

Les ordinateurs infectés sont utilisés par les attaquants pour faire des copies d’écran de correspondances, ou pour détourner des messages vers leur propre boîte de réception, afin qu’ils puissent y rechercher des transactions intéressantes ou lucratives. Le paiement est ensuite intercepté via l’attaque classique « man in the middle », en remplaçant les données de compte dans une facture légitime par celles de l’attaquant en question. Pour une victime, il peut être difficile de remarquer ce remplacement à temps, avant la disparition de l’argent.

La menace inconnue

Lors de l’analyse des serveurs de commande et de contrôle qui ont été utilisés lors des attaques les plus récentes en 2017, les chercheurs ont remarqué que des captures d’écran d’opérations et de plans de projets, ainsi que des dessins techniques et des diagrammes de réseau faisaient partie des données dérobées. En outre, ces illustrations ne provenaient pas des ordinateurs de Project Managers ou responsables des achats, les cibles habituelles des attaquants, mais d’ordinateurs d’opérateurs, techniciens, concepteurs et architectes.