NotPetya : l’écran réclame une rançon, mais le vrai objectif est de détruire

Le 27 juin 2017, des entreprises voient leurs ordinateurs devenir inutilisables. L’écran ressemble à une demande de rançon. Pourtant, NotPetya n’est pas un simple service de déchiffrement criminel : son comportement vise à rendre les données et les systèmes difficiles ou impossibles à restaurer par cette voie.

Microsoft observe des infections initiales provenant du processus de mise à jour du logiciel comptable ukrainien M.E.Doc. Une fonction normale, attendue et autorisée devient un moyen d’introduire le programme hostile. Celui-ci peut ensuite progresser dans les réseaux en combinant plusieurs techniques, dont l’utilisation d’accès déjà présents.

Le point important est cette combinaison. Appliquer un correctif contre une seule vulnérabilité ne suffit pas nécessairement à arrêter toutes les façons dont un logiciel destructeur peut circuler depuis un poste compromis. Les relations entre machines participent elles aussi à l’ampleur de la crise.

Les indisponibilités massives révèlent l’attaque. Les victimes isolent des systèmes et reconstruisent leurs environnements à partir de ressources saines. Des activités logistiques, industrielles et administratives sont perturbées bien au-delà de l’Ukraine.

Dans son acte d’accusation de 2020, le DOJ attribue notamment NotPetya à des officiers du renseignement militaire russe, associés à l’unité connue comme Sandworm. Il chiffre à près d’un milliard de dollars les pertes de trois victimes du dossier seulement. Il s’agit de dégâts subis, pas d’un milliard encaissé par les attaquants.

NotPetya illustre une forme de cyberattaque où l’apparence d’une extorsion masque un sabotage. La question n’est plus seulement de savoir combien le pirate veut recevoir, mais combien d’organisations peuvent continuer à fonctionner après son passage.