
Conseils sur les cybermenaces : les malwares de type « wiper » émergent dans un conflit russie-Ukraine
En pleine montée du conflit géopolitique entre la Russie et l'Ukraine, plusieurs organisations ukrainiennes ont été victimes d'un malware de type « wiper » destructif qui endommage l'enregistrement de démarrage principal d'un système et détruit le contenu des fichiers ciblés. Ces vagues d'attaques se poursuivent et les entreprises sans présence en Ukraine doivent également être préparées à l'évolution de la situation.
Informations complémentaires et détails techniques sur les alertes de menace
Nature de la menace
En janvier, un malware de type « wiper », qui détruit le contenu des systèmes impactés sans possibilité de récupération, a été découvert sur les appareils de plusieurs grandes entreprises en Ukraine. Le malware réside dans divers répertoires de travail, notamment C:\PerfLogs, C:\ProgramData, C:\ et C:\temp. Il est souvent nommé stage1.exe. Lors des attaques observées, le malware a été exécuté via Impacket, une collection publique d'outils souvent utilisés par les pirates pour les déplacements latéraux et les exécutions non autorisées. Le fichier exécutable Stage1 écrase le MBR (Master Boot Record), la partie d'un disque dur qui indique à l'ordinateur comment charger son système d'exploitation, avec une note de rançon qui s'exécute lorsque l'appareil est éteint. La note de rançon est en fait une ruse, car la phase suivante de l'attaque détruit de manière irréversible le contenu des fichiers ciblés. Lorsqu'il est exécuté, le fichier exécutable stage2 télécharge un corrupteur de fichiers malicieux qui, une fois exécuté en mémoire, localise les fichiers de certains répertoires du système attaqué, écrase leur contenu avec un nombre fixe d'octets 0xCC (pour une taille de fichier totale de 1 Mo), et renomme chaque fichier avec une extension apparemment aléatoire de quatre octets.
Pourquoi est-ce important ?
Bien que ces attaques n'aient pour l'instant ciblé que des organisations en Ukraine, d'autres pays pourraient être touchés alors que le conflit mondial ne cesse de s'amplifier. Le gouvernement russe, l'auteur présumé de ces attaques, pourrait facilement se tourner vers d'autres pays s'il venait à les considérer comme un obstacle à ses objectifs géopolitiques, par exemple les États-Unis, le Canada et le Royaume-Uni. La première série de malwares de type « wiper » ciblant les organisations ukrainiennes a été identifiée en janvier, et une deuxième vague a été identifiée le 23 février : il ne s'agit pas d'un phénomène ponctuel. En cas de réussite, ces attaques peuvent causer des dommages considérables dans l'entreprise ciblée, car elles peuvent détruire de grandes quantités de données stratégiques sans aucune possibilité de restauration.
Quel est le risque d'exposition ?
Les entreprises avec une présence en Ukraine doivent être en état d'alerte maximale : elles constituent des cibles potentielles immédiates de ce malware. Les organisations qui ne se trouvent pas en Ukraine, mais qui sont basées dans des pays considérés comme ennemis du gouvernement russe, notamment les États-Unis, le Canada, le Royaume-Uni et d'autres pays occidentaux, doivent également se préparer, au cas où elles viendraient à être prises pour cible. Les entreprises des secteurs de l'énergie, des transports et d'autres infrastructures stratégiques devraient être en état d'alerte maximale, car elles ont été les cibles privilégiées des précédentes campagnes cybercriminelles russes. Les entreprises sans dispositif de protection des terminaux empêchant l'exécution de fichiers exécutables malicieux seront les plus susceptibles d'être victimes de ce type d'attaques.
Quelles sont les recommandations ?
Barracuda recommande de prendre les mesures suivantes pour réduire le risque de réussite d'une attaque de malware :
• Déployez un dispositif de protection des terminaux au sein de votre entreprise et assurez-vous qu'il est configuré pour empêcher l'exécution de fichiers exécutables malicieux.
• Surveillez les indicateurs de compromission associés à ces attaques. Gardez à l'esprit que les listes actuelles ne sont pas exhaustives et que d'autres indicateurs de compromission apparaîtront à mesure que ces attaques se développeront.
• Analysez votre environnement pour identifier les malwares potentiels, en vérifiant d'abord que votre solution d'analyse est à jour et qu'elle intègre des informations pertinentes sur les menaces.
RÉFÉRENCES
Pour obtenir des recommandations plus approfondies, consultez les liens suivants :
• https://www.cisa.gov/uscert/ncas/current-activity/2022/01/16/microsoft-warns-destructive-malware-targeting-ukrainian
• https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/
• https://www.cyberscoop.com/ukraine-wiper-malware-eset-sentinelone-whispergate/
• https://twitter.com/ESETresearch/status/1496581903205511181
Pour toute question, contactez notre centre d'opérations de sécurité.Cet article s'appuie sur une alerte de menace émise par notre équipe Barracuda Managed XDR.

Rapport 2025 sur les ransomwares
Principales conclusions concernant l’expérience et l’impact des ransomwares sur les organisations du monde entier
S’abonner au blog de Barracuda.
Inscrivez-vous pour recevoir des informations sur les menaces, des commentaires sur le secteur et bien plus encore.

Sécurité des vulnérabilités gérée : correction plus rapide, risques réduits, conformité simplifiée
Découvrez à quel point il peut être facile de trouver les vulnérabilités que les cybercriminels cherchent à exploiter