Affaire Stuxnet : la cyberguerre a commencé

Assis dans son bureau, à Hambourg, Ralph Langner, un spécialiste allemand de la cybersécurité, se souvient du jour où il s’est retrouvé nez à nez avec le ver informatique* Stuxnet. « Les bras m’en sont tombés, raconte-t-il. Étant dans le métier depuis vingt ans, j’avais prévenu mes clients que ce genre de tuile risquait d’arriver. Mais jamais je n’aurais pensé que ça prendrait une forme aussi sophistiquée et agressive ! »

Le logiciel malveillant Stuxnet est apparu il y a cinq mois. Depuis, il n’inquiète pas seulement les experts en nouvelles technologies, mais aussi les militaires et les gouvernements. À commencer par le régime iranien, dont le programme nucléaire pourrait avoir été sérieusement touché.

Il y a des années que les États ont pris conscience de la cybermenace. Le Pentagone admet que des hackers attaquent périodiquement ses systèmes de sécurité et tentent de s’emparer de ses secrets militaires. Et l’on a déjà vu un acteur (la Russie, sans doute) mener deux cyberattaques de grande ampleur, l’une contre l’Estonie en 2007, l’autre contre la Géorgie en 2008, qui ont désorganisé brièvement les réseaux de communication de ces deux pays.

L’apparition de Stuxnet a fait naître de nouvelles craintes. Car, pour la première fois, un groupe à ce jour inconnu est parvenu à fabriquer un ver capable de se propager tout seul et de pénétrer des systèmes industriels (d’une usine, d’une raffinerie ou d’une centrale nucléaire) afin d’en prendre le contrôle. « Il est programmé pour tout faire exploser, comme un cybermissile », explique Langner, qui a été l’un des premiers à attirer l’attention sur ses capacités destructrices.

Stuxnet a été découvert en Biélorussie, dans une entreprise de sécurité. En août, Microsoft a révélé qu’il avait infecté plus de quarante-cinq mille de ses ordinateurs. Les spécialistes ont alors établi qu’il visait spécifiquement des systèmes informatiques conçus par la firme allemande Siemens et utilisés pour faire fonctionner des pipelines ou des centrales électriques et nucléaires dans le monde.

Référence biblique

À la fin de septembre, la cible et les motifs de l’attaque se sont précisés. L’américain Symantec, qui aide les particuliers et les entreprises à sécuriser leurs systèmes d’information, a révélé que 60 % des ordinateurs infectés par le virus se trouvaient en Iran. Les autorités de ce pays ont reconnu que le ver avait infecté les systèmes Siemens de son réacteur nucléaire civil de Bouchehr, qu’elles espèrent être bientôt opérationnel.

Après cet aveu, les rumeurs sur l’origine de Stuxnet se sont intensifiées. Sa complexité et le fait qu’il soit configuré pour attaquer uniquement un certain type d’installations industrielles ont conduit les experts à penser que seul un État pouvait en être le concepteur. Certains montrent du doigt Israël, qui a beaucoup investi dans Unit 8-200, son centre secret contre la guerre informatique, et qui, convaincu que l’Iran s’efforce de se doter de l’arme atomique, considère ce pays comme une menace mortelle. La découverte dans le code du ver du mot « Myrtus » (une référence biblique à la reine Esther, l’une des grandes figures de l’histoire juive) conforterait cette hypothèse.

Mais deux autres pays, les États-Unis et le Royaume-Uni, s’inquiètent eux aussi des intentions iraniennes et sont dotés d’organismes qui pourraient être à l’origine de Stuxnet : le Pentagone, à Washington ; l’Agence de sécurité nationale (NSA), dans le Maryland ; et le Government Communications Headquarters (GCHQ), à Cheltenham, dans le sud-ouest de l’Angleterre.

Les agences de renseignements ont tenté d’évaluer les ravages causés par ce ver. Fin septembre, l’Iran a affirmé qu’aucun des centres vitaux de Bouchehr n’avait été endommagé, mais l’information est invérifiable. D’autant qu’au même moment Hamid Alipour, directeur adjoint de la société d’État iranienne des technologies informatiques, affirmait que « l’attaque continuait » et que « de nouvelles versions du ver se propageaient ».

Pourquoi Israël ou un autre pays s’en seraient-ils pris à Bouchehr ? « Quiconque attaque un réacteur nucléaire est un irresponsable, car il risque de causer d’irréparables dommages à l’environnement, estime Mark Fitzpatrick, de l’Institut international d’études stratégiques, à Londres. D’autant que Bouchehr ne constitue pas une menace pour les Occidentaux. » À l’en croire, il serait plus intéressant de savoir si Stuxnet a contaminé la centrale à uranium enrichi de Natanz…

Dans de sales draps

Quoi qu’il en soit, l’affaire Stuxnet soulève bien d’autres problèmes. Son apparition laisse augurer une ère de guerre informatique durant laquelle un certain nombre d’États – et même des organisations terroristes – pourraient être amenés à faire usage de cette arme de destruction massive. « On n’est plus dans un scénario de film catastrophe, mais dans une tentative bien réelle de sabotage de systèmes de contrôle industriels », souligne Éric Chien, qui a étudié les ravages du ver chez Symantec.

Voici, selon Langner, comment Stuxnet se développe. D’abord, ses concepteurs doivent accéder au réseau des installations visées. Une infrastructure sensible n’est presque jamais connectée à internet, ce qui rend les attaques en ligne impossibles. Dans le cas de Bouchehr, le ver a sans doute été inoculé par des clés USB infectées qu’une agence de renseignements étrangère aurait installées en secret lors de la construction du réacteur par des ingénieurs russes. Le ver peut alors prendre le contrôle de l’ordinateur et exploiter les ressources de celui-ci pour assurer sa reproduction. « Et là, poursuit Langner, vous êtes dans de sales draps. Stuxnet peut s’infiltrer dans les systèmes de contrôle de l’usine. » Impossible, dès lors, de l’arrêter. « Même si les ingénieurs découvrent son existence et déconnectent leurs ordinateurs portables, le ver est programmé pour poursuivre son attaque. »

Comment les gouvernements occidentaux entendent-ils se protéger contre pareille menace ? À Washington, on redoute depuis longtemps que des hackers réussissent à voler des secrets industriels ou gouvernementaux. On craint aussi le développement d’une « petite » cybercriminalité, comme le vol de données bancaires. Mais Stuxnet a ravivé la crainte d’une guerre informatique de grande ampleur au cours de laquelle des infrastructures vitales seraient détruites.

Patron du nouveau centre chargé de défendre le Pentagone contre ce type d’attaques, le général Keith Alexander le reconnaît volontiers : un nouveau Stuxnet pourrait provoquer une « catastrophe majeure ». Les dirigeants américains affirment aussi vouloir protéger le secteur privé, mais beaucoup doutent qu’ils tiennent leur promesse. « Logiquement, c’est notre boulot de protéger les infrastructures privées du pays, commente Richard Clarke, un ancien responsable de la lutte antiterroriste. Hélas, le gouvernement n’a pas de politique en ce domaine… » Plusieurs officiers supérieurs mettent notamment en garde contre la très grande vulnérabilité des centrales hydroélectriques occidentales.

Les grandes puissances (États-Unis, Chine, Russie) pourraient décider conjointement de fixer des règles du jeu, comme elles le font pour lutter contre la prolifération nucléaire. « Nous savons que nous pouvons nous causer mutuellement de graves dommages, et personne n’y a intérêt », résume un ancien conseiller de Barack Obama. Il n’empêche : toutes les tentatives de la Maison Blanche pour parvenir à un accord ont échoué. Et les soupçons qui pèsent sur Israël, allié des États-Unis, à propos de Stuxnet ne vont pas arranger les choses.

Autre difficulté : « Comment riposter à ces cyberattaques alors qu’il est quasi impossible d’en déterminer la provenance ? » s’interroge William Lynn, le secrétaire adjoint américain à la Défense.

Toutes ces questions vont assurément dominer les débats sur la sécurité mondiale au cours de la prochaine décennie. Mais dans l’immédiat, il s’agit avant tout d’évaluer l’ampleur des dégâts que Stuxnet a infligés aux Iraniens. S’ils sont importants et ont frappé leur programme nucléaire, Américains, Israéliens et Européens se frotteront les mains. Il n’y aurait pourtant pas de quoi se réjouir. Car cela signifierait que la guerre de l’informatique vient de commencer. 

__

* Logiciel malveillant qui, contrairement à un virus informatique, n’a pas besoin d’un programme hôte pour se reproduire et s’infiltrer dans les systèmes de contrôle des installations industrielles. Son objectif est d’espionner l’ordinateur dans lequel il se trouve, de détruire ses données et/ou d’envoyer de multiples requêtes vers un serveur internet dans le but de le saturer.