Module 2
1. Industrial cyber attacks
Les cyberattaques industrielles sont de plus en plus fréquentes.
Elles ciblent des infrastructures critiques comme :
- Réseaux électriques
- Usines de fabrication
Ces attaques commencent souvent par des vulnérabilités mineures :
- Phishing (courriels frauduleux)
- Systèmes obsolètes
Elles peuvent ensuite s’amplifier et provoquer :
- Perturbations majeures
- Manipulation des processus industriels
- Dommages physiques potentiels
1.1. Mode opératoire des attaquants
Progression furtive dans les réseaux, compromettant plusieurs systèmes avant l’attaque
principale
Objectifs typiques :
- Sabotage
- Vol de données
- Déploiement de ransomwares
Impact potentiel à grande échelle, notamment via la chaîne d’approvisionnement
2. Threat Actors
2.1. Types d’acteurs de menace
Script kiddies
- Hackers inexpérimentés
- Utilisent des outils existants sans comprendre pleinement leur fonctionnement
- Motivés par la curiosité ou pour montrer leurs compétences
- Peu sophistiqués mais peuvent causer des dégâts importants
Hackers selon leurs motivations
- White hat (chapeau blanc) : hackers éthiques qui cherchent à améliorer la sécurité
- Gray hat (chapeau gris) : motivations ambiguës, parfois éthiques, parfois non
- Black hat (chapeau noir) : hackers malveillants visant un gain illégal
Groupes organisés
- Cybercriminels
- Hacktivistes
- Terroristes
- Hackers soutenus par des États
Ces groupes sont souvent très sophistiqués et peuvent offrir la cybercriminalité comme un
service (Cybercrime-as-a-Service)
2.2. Menaces internes vs externes
Menaces internes
- Employés, sous-traitants, partenaires
- Risques d’erreurs, manipulation intentionnelle, introduction de malwares
- Accès ou compromission involontaire ou malveillante des systèmes
Menaces externes
- Acteurs extérieurs exploitant des vulnérabilités
- Utilisation de techniques de social engineering pour obtenir des accès non autorisés
3. Methods of attack
3.1. Ingénierie sociale (Social Engineering)
Manipulation des personnes pour obtenir des informations confidentielles ou actions
compromettant la sécurité
Exploitation de la psychologie humaine, notamment la serviabilité ou les faiblesses
Tactiques courantes :
- Pretexting : mensonges pour obtenir des informations privilégiées
- Tailgating : suivre des personnes autorisées dans des zones sécurisées
- Quid pro quo : demander des données personnelles en échange d’un service ou
avantage
3.2. Attaques par déni de service (DoS) et déni de service distribué
(DDoS)
DoS : surcharge des systèmes par un trafic massif ou paquets malformés
- Conséquences : ralentissement ou plantage, interruptions de communication, pertes
financières
DDoS : attaque coordonnée provenant de multiples sources (botnets)
- Utilisation de réseaux de machines infectées (« zombies ») contrôlées à distance
- Ces botnets se propagent en infectant d’autres machines
- Lors d’une attaque, le botnet cible un système en lançant un volume massif de trafic
3.3. Botnets
- Réseaux d’ordinateurs infectés contrôlés par des serveurs de commande et contrôle
- Peuvent compter des dizaines voire centaines de milliers de bots
- Modes d’infection : sites non sécurisés, pièces jointes, fichiers médias
- Usages : diffusion de malware, attaques DDoS, spam, attaques par force brute
- Contre-mesure : filtres de trafic pour détecter et atténuer les bots infectés
3.4. Attaques sur le chemin de communication (On-path, MitM,
MitMo)
- Man-in-the-Middle (MitM) : interception ou modification des communications sans
que l’utilisateur le sache
- Man-in-the-Mobile (MitMo) : attaque similaire ciblant spécifiquement les appareils
mobiles
- Usages : vol d’informations financières, extraction de données sensibles
3.5. SEO poisoning
- Manipulation des résultats des moteurs de recherche pour faire remonter des sites
malveillants
- Attaque basée sur des mots-clés populaires pour augmenter le trafic vers des sites
diffusant malware ou pratiquant l’ingénierie sociale
3.6. Craquage de mots de passe Wi-Fi
Méthodes :
- Ingénierie sociale (manipulation pour obtenir le mot de passe)
- Attaques par force brute (test systématique de combinaisons)
- Capture de trafic non chiffré (sniffing)
Risques élevés en milieu industriel, pouvant permettre un accès non autorisé aux systèmes OT
critiques
3.7. Attaques sur mots de passe
Techniques courantes :
- Password spraying : essayer quelques mots de passe communs sur plusieurs comptes
- Dictionary attacks : essais systématiques de mots d’un dictionnaire
- Brute-force attacks : tester toutes les combinaisons possibles
- Rainbow attacks : utilisation de tables de hachage pré-calculées
- Interception de trafic : capture des mots de passe non chiffrés en réseau
3.8. Menaces persistantes avancées (APT)
- Attaques longues, furtives et sophistiquées
- Ciblent des organisations ou États pour raisons économiques ou politiques
- Généralement financées et personnalisées avec des malwares adaptés
4. Analyzing attacks
4.1. Outils d’analyse des cyberattaques industrielles
MITRE ATT&CK pour les ICS
- Fournit une cartographie détaillée des tactiques et techniques adverses spécifiques
aux environnements industriels
- Aide les organisations à identifier les vulnérabilités
- Permet d’élaborer des stratégies de défense ciblées
Cyber Kill Chain
- Décrit les différentes étapes d’une attaque, de la reconnaissance à l’impact final
- Offre une vue globale du cycle de vie d’une attaque
- Permet aux défenseurs d’anticiper le comportement des attaquants et de déployer
des mesures adaptées
4.2. Étapes d’une cyberattaque dans les systèmes industriels
- Initial Access (accès initial)
- Execution (exécution)
- Persistence (persistance)
- Privilege Escalation (élévation de privilèges)
- Evasion (évasion)
- Discovery (découverte)
- Lateral Movement (mouvement latéral)
- Collection (collecte de données)
- Command and Control (commande et contrôle)
- Inhibiting Response Functions (blocage des fonctions de réponse)
- Impairing Process Control (altération du contrôle des processus)
- Impact (impact final)
4.3. Types courants de malware utilisés dans les attaques
industrielles
- Spyware : collecte d’informations sensibles sur les processus industriels
- Adware : ralentissement des performances ou distraction des opérateurs
- Backdoors : accès distant non autorisé aux systèmes critiques
- Ransomware : chiffrement des données opérationnelles vitales, perturbant les
processus
- Scareware : incite les opérateurs à réaliser des actions inutiles
- Rootkits : accès profond au système tout en évitant la détection
- Viruses : auto-réplication et propagation pouvant perturber les opérations
- Trojans : déguisent leur nature malveillante, souvent utilisés pour l’accès initial
- Worms : auto-réplication rapide à travers les systèmes connectés
4.4. Symptômes fréquents d’infection par malware dans les systèmes
industriels
- Utilisation excessive du processeur (CPU)
- Gel ou plantage des systèmes
- Problèmes de connexion réseau
- Fichiers modifiés
- Processus inconnus en cours d’exécution
- Dysfonctionnement des logiciels de sécurité
4.5. Importance de la compréhension
La connaissance des cadres d’analyse d’attaque, des types de malware et de leurs symptômes
est essentielle pour :
- Les professionnels IT travaillant avec des dispositifs IoT industriels
- La défense efficace contre les menaces cybernétiques
- La mitigation des risques dans les infrastructures critiques
5. Cyberwarfare
5.1. Importance des infrastructures critiques
Infrastructures vitales pour le fonctionnement de la société :
- Réseaux électriques
- Usines de traitement de l’eau
- Systèmes de transport
Cibles privilégiées en raison de leur rôle dans la sécurité publique, la stabilité économique et la
sécurité nationale
Faiblesse fréquente des mesures de cybersécurité dans les systèmes industriels connectés
5.2. Risques spécifiques du smart grid (réseau électrique intelligent)
Utilisation de technologies numériques pour gérer la distribution d’électricité
Avantages en efficacité mais ouvre des vulnérabilités :
- Risques d’interruption d’électricité ou de coupures
- Perturbations possibles dans la tarification et la distribution
Dispositifs IoT du réseau augmentent la surface d’attaque à cause de leur sécurité souvent faible
5.3. Moyens de défense
Renforcement de la cybersécurité par les opérateurs et entreprises de services publics
Mesures recommandées :
- Mises à jour régulières des systèmes
- Segmentation des réseaux
- Plans de réponse détaillés en cas d’incident
Importance des cadres réglementaires et des partenariats public-privé
5.4. Cyber-guerre : objectifs et impacts
Collecte d’informations compromises et secrets de défense
- Vol de données sensibles pour combler les écarts technologiques et militaires
- Utilisation de ces données pour faire du chantage
Impact sur les infrastructures d’un pays cible
- Invasion continue des infrastructures pour provoquer chaos et perturbations
- Impact majeur sur la vie quotidienne des citoyens
5.5. Conséquences stratégiques de la cyber-guerre
- Potentiel de déstabilisation nationale sans intervention physique sur le territoire
- Perturbation du commerce et de l’économie
- Érosion de la confiance des citoyens envers leur gouvernement