IOCONTROL : Un malware ciblant les Infrastructures OT et IoT

Une nouvelle menace d’un nouveau genre frappe les environnements IoT et OT : IOCONTROL

Ce malware, attribué à des acteurs affiliés à l’Iran, cible des dispositifs vitaux tels que les systèmes SCADA, les caméras IP, les routeurs, les automates programmables industriels (API/PLC), et bien d’autres. 

Identifié par Claroty et QiAnXin XLab, ce logiciel malveillant s’attaque à des infrastructures critiques aux États-Unis et en Israël, intensifiant les tensions géopolitiques et soulignant l’importance cruciale de la cybersécurité OT. Teltonika figure parmi les marques directement visées.

Une cyberarme polyvalente et adaptable

Développé sur une base modulaire, IOCONTROL est conçu pour s’adapter à divers équipements Linux embarqués, indépendamment du fabricant.

Cette flexibilité confère au malware une capacité de nuisance étendue, lui permettant de compromettre une large gamme d’appareils, notamment ceux des marques Baicells, Hikvision, D-Link, Teltonika, Unitronics et Phoenix Contact. Sa capacité à infiltrer des systèmes critiques repose sur des techniques avancées :

• Communication furtive via MQTT : Utilisation du protocole MQTT, couramment employé dans l’IoT, pour masquer les communications malveillantes.

   

• Dissimulation des connexions C2 avec DNS-over-HTTPS (DoH) : Emploi du DoH pour rendre plus difficile la détection des serveurs de commande et de contrôle.

   

• Mécanismes de persistance sophistiqués : Mise en place de backdoors assurant une exécution automatique à chaque redémarrage de l’appareil.
  
  

Des infrastructures civiles en ligne de mire : Arrêt des services et vol de données

L’une des manifestations les plus préoccupantes d’IOCONTROL concerne les attaques ciblant les systèmes de gestion de carburant Gasboy et Orpak. En infiltrant les terminaux de paiement, les attaquants ont démontré leur capacité à :

• Paralyser les services de distribution de carburant : Impactant directement l’approvisionnement et les activités économiques.
  
  
• Dérober des données sensibles, notamment des informations de cartes bancaires : Compromettant la sécurité financière des consommateurs.

Ces attaques, attribuées au groupe CyberAv3ngers, lié au Corps des Gardiens de la Révolution islamique (IRGC-CEC), révèlent une volonté manifeste de cibler des infrastructures civiles pour provoquer des perturbations massives et semer le chaos.

Une menace croissante pour les dispositifs IoT et OT : Un uouveau jalon dans la cyberguerre industrielle

En exploitant les vulnérabilités des infrastructures critiques, IOCONTROL rejoint une liste tristement célèbre de malwares industriels tels que Stuxnet, Industroyer et Triton, marquant une nouvelle étape dans la cyberguerre. Ses fonctionnalités clés incluent :

• Exécution de commandes arbitraires : Prise de contrôle à distance des appareils infectés.
  
  
• Mouvement latéral : Propagation de l’infection à d’autres appareils au sein du réseau.
  
  
• Scans réseau ciblés : Identification de nouvelles cibles vulnérables.
  
  
• Dissimulation avancée : Utilisation d’un empaquetage UPX modifié pour échapper à la détection.

   

Implications stratégiques et prévention : L’importance cruciale de la sécurité OT

Les attaques récentes menées par CyberAv3ngers témoignent d’une escalade dans les conflits cybernétiques. 

Ces opérations ne se limitent plus aux infrastructures de carburant, mais visent également les systèmes SCADA, les usines de traitement d’eau et d’autres systèmes critiques. 

Les sanctions américaines contre des membres de l’IRGC-CEC soulignent la gravité de cette menace au niveau international. 

Face à des menaces comme IOCONTROL, l’application des principes de la norme IEC 62443, qui encadre la cybersécurité des systèmes industriels, est essentielle. Pour les entreprises françaises et européennes, cette menace met en lumière l’importance cruciale de la directive NIS2, qui impose des standards de cybersécurité renforcés pour les opérateurs de services essentiels (OSE).