Cyberattaques : l'Afrique sur le qui-vive

A peine 6 semaines depuis l'attaque du virus escroc, « Wannacry », le monde fait face à une nouvelle menace cyber-sécuritaire. Le 27 juin, une nouvelle attaque s'est étendu de l'Europe principalement en Russie et Ukraine, aux États-Unis, en Amérique du Sud mais aussi en Afrique. Les opérateurs portuaires à New York, Rotterdam et en Argentine ont été les premiers à signaler l'attaque, avant que les systèmes gouvernementaux à Kiev se retrouvent complètement bloqués.

L'agence de développement de la technologie de l'information du Nigéria, la NITDA, a été l'une des premières à réagir en Afrique. L'agence avait ainsi annoncé dès dimanche l'émergence de la nouvelle attaque. Tout comme « Wannacry », l'attaque, également connue sous le nom de « GoldenEye », crypte non seulement les fichiers, mais la lecture des disques durs, rendant inaccessibles les systèmes informatiques dans leur ensemble. La plupart des virus similaires se contentent de bloquer l'accès aux documents personnels.

Des agences gouvernementales africaines similaires à la NITDA ont également réagi à la menace. C'est le cas par exemple du centre de veille, de détection et de réaction aux attaques informatiques marocain qui a publié un communiqué pour diffuser ses recommandations (pour s'en inspirer, cliquez ici). La vigilance est à son comble également en Afrique du sud et au Zimbabwe. Selon plusieurs sources, ce sont surtout les opérateurs portuaires comme Mearsk qui se sont retrouvé complètement bloqués. D'autres multinationales opérant en Afrique ont également été touchées. Cela dit, après deux jours de l'éruption de l'attaque, les dommages semblent relativement négligeables comparés aux autres pays du monde, vu que l'Afrique n'a pas été directement ciblée par l'attaque. Les victimes qui y sont recensés proviennent principalement des multinationales dont les quartiers généraux ont été les plus touchés.

La Russie et l'Ukraine, les principales victimes

C'est en Russie et en Ukraine que la liste des victimes s'allonge le plus. Plus de 80 entreprises dans les deux pays ont été affectées par le rançomware qui a désactivé les ordinateurs mardi et a réclamé aux utilisateurs de payer 300 dollars en crypto-monnaie pour les débloquer. Selon la firme de sécurité informatique Kaspersky Lab, environ 2.000 utilisateurs ont été attaqués jusqu'à maintenant avec une prépondérance des organisations en Russie et en Ukraine.

En France, l'industriel très présent en Afrique (Egypte, Ghana, Afrique du Sud), Saint-Gobain a déclaré avoir été touché par le virus et a précisé que le problème était en cours de résolution.

Rosneft, le principal producteur de pétrole russe et qui possède quelques antennes sur le continent a déclaré qu'il évitait « des conséquences graves » de l'attaque en passant à « un système de sauvegarde pour la gestion des processus de production ».

Au niveau européen, Rob Wainwright, directeur exécutif d'Europol, a déclaré que l'agence « répondait d'urgence » à la nouvelle attaque cybernétique. Selon une déclaration faite à la presse, Europol a déclaré qu'il discutait avec « les États membres et les principaux partenaires pour établir la nature complète de cette attaque en ce moment ».

Les analystes de Symantec Corp ont déclaré que le nouveau virus, que certains appellent NotPetya vu les différences qui existent entre le virus actuel et celui lâché l'année dernière, utilise un outil conçu chez la NSA appelé EternalBlue pour se répandre. Il s'agit d'un outil qui exploite les mêmes vulnérabilités du système d'exploitation Windows qu'exploitait Wannacry. Cela signifie que les machines touchées par Petya n'étaient vraisemblablement pas mises à jour.

D'où provient l'attaque ?

Quant aux identités et aux intentions des auteurs de l'attaque, elles restent inconnues. Toutefois, la théorie développée par l'opérateur de sécurité électronique semble réaliste. Selon la firme, deux informations montrent que Petya pourrait être un écran de fumée. D'une part, le virus comprend un outil appelé LSADump, qui peut récolter des mots de passe et d'autres données à partir d'ordinateurs Windows et de contrôleurs de domaine sur le réseau. De l'autre, l'adresse e-mail affichée sur le message du rançomware a été rapidement bloquée par le fournisseur de messagerie, ce qui était prévisible. Ainsi, personne ne peut obtenir les clés de décryptage pour débloquer ses ordinateurs. Cela montre que les auteurs de l'attaque n'avaient pas vraiment l'intention de débloquer la situation. Pour de nombreux spécialistes, la thèse d'un test de la nouvelle version du virus, ou une de ces caractéristiques, est à envisager.