D’après les laboratoires Kaspersky, un puissant virus espionne les activités de nombreux opérateurs stratégiques depuis 5 ans. Son nom : Sauron.
On connaissait déjà Sauron, le seigneur du mal faisant régner la terreur dans la Terre du Milieu. Un virus éponyme a été découvert par les laboratoires Kaspersky, entreprise russe de référence spécialisée dans la sécurité informatique et connue pour son anti-virus. La firme a publié un rapport faisant état de ses découvertes.
Des attaques soigneusement ciblées
En cinq ans d’existence présumées, le logiciel malveillant Sauron aurait donc attaqué plus d’une trentaine de structures, parmi lesquelles des organisations gouvernementales et militaires, des opérateurs télécoms ainsi que des centres scientifiques publics et privés. Le programme intrusif doit son nom aux nombreuses références à l’oeuvre de Tolkien présentes dans le code.
D’après les analyses de Kaspersky, le malware aurait laissé des traces en Russie, en Iran et au Rwanda. D’après un second rapport signé Symantec, Sauron serait une arme d’espionnage électronique particulièrement performante mise au point par un groupe répondant au nom de Strider. Ce même rapport affirme également que le programme aurait ciblé une ambassade en Belgique, une organisation en Suède et une compagnie aérienne chinoise.
Une arme de pointe
Les deux principaux atouts de Sauron sont sa persistance et sa polyvalence. D’une part, son module de persistance lui permet de récolter les informations de connexion des utilisateurs et administrateurs d’un système sous la forme d’un fichier texte. De l’autre, il change régulièrement ses processus de transmission des données pour ne pas éveiller les soupçons. Pour les experts de Kaspersky, il s’agit là d’un bouleversement tactique majeur : « Les responsables des attaques savent pertinemment que nous autres analystes cherchions constamment des schémas. Supprimez ces schémas et l’opération devient plus difficile à détecter. »
Bien qu’étant une forme évoluée du cheval de Troie Remsec sévissant sur Windows, Sauron se distingue de ses congénères sur de nombreux aspects, ce qui en a fait jusqu’à aujourd’hui un outil particulièrement discret. Costin Raiu, directeur de recherches de menaces de Kaspersky, a ajouté à la BBC que Sauron pouvait être transmis via des clés USB et supports amovibles infectés, lui permettant ainsi d’atteindre les équipements coupés d’Internet.
Si l’on en croit l’expert en cybersécurité Graham Cluley, les cibles identifiées jusque là laissent peu de doute sur la nature du commanditaire des opérations : Sauron serait vraisemblablement une arme de pointe commandée et approuvée par un État occidental. Alors que le Pentagone renforce son commandement cyber et dans un cadre où l’inattribution favorise les opérations offensives, Sauron pourrait être un pas de plus vers une course globalisée à l’armement cyber.
Visuels : Symantec