Une nouvelle cybermenace visant les systèmes d’approvisionnement en eau révèle les limites du chiffrement
infohightech ·
Des chercheurs de l’Université de Colombie-Britannique au Canada ont découvert une vulnérabilité qui pourrait permettre aux pirates informatiques de cibler et de perturber des infrastructures critiques telles que les stations d’épuration et les réseaux énergétiques sans avoir besoin de s’introduire dans les systèmes de l’installation ou de déchiffrer son cryptage.
Cette technique cible les installations qui communiquent avec des systèmes de surveillance et de contrôle basés sur le cloud via des connexions chiffrées. Un attaquant devrait d’abord compromettre un routeur assurant le trafic entre l’installation et le cloud.
Ces résultats suggèrent que le chiffrement seul pourrait ne pas suffire à protéger les infrastructures publiques essentielles. En analysant les schémas de trafic quotidiens, tels que l’heure et la taille des messages numériques, un attaquant pourrait identifier les moments où des commandes ou des données critiques sont susceptibles d’être transmises, même si leur contenu reste dissimulé.
Les systèmes de contrôle industriel s’appuient sur des ordinateurs pour piloter des machines telles que des pompes, des vannes et des générateurs. Contrairement aux attaques qui compromettent les équipements d’une usine ou saturent un réseau, cette nouvelle technique exploite les schémas des communications chiffrées pour anticiper les moments critiques et bloquer sélectivement une petite partie des messages.
Cela permet à l’attaque de perturber les opérations sans pénétrer dans les systèmes propres de l’usine, tout en échappant aux détecteurs d’attaques testés par les chercheurs.
« Ce qui rend cette attaque inquiétante, c’est qu’un attaquant n’a pas besoin de lire les messages échangés », explique Aastha Mehta, professeure d’informatique à l’Université de la Colombie-Britannique, directrice du groupe de recherche sur la sécurité des systèmes principaux et co-chercheuse principale du projet. « Même lorsque le contenu est chiffré, les schémas de communication peuvent révéler suffisamment d’informations pour identifier et cibler les communications critiques. »
L’ article intitulé « ICS-Sniper : une attaque ciblée de type trou noir sur le trafic ICS chiffré » a été accepté pour présentation au Symposium 2027 sur la sécurité des réseaux et des systèmes distribués à Séoul, en Corée du Sud.
Chanyuan Liu, Pritam Dash, Elaine Yao et Alain Zhiyanov ont également contribué à cet article.
Comment un « sniper » pourrait cibler une station d’épuration des eaux
Les chercheurs appellent leur cadre d’attaque « ICS-Sniper » car, à l’instar d’un tireur d’élite, il peut cibler sélectivement les communications critiques avec un impact minimal.
Lors de tests en laboratoire, l’équipe a démontré avec succès l’efficacité de l’attaque sur une version adaptée au cloud d’un banc d’essai de traitement des eaux de l’Université de technologie et de design de Singapour. Ils ont utilisé deux modèles du banc d’essai : l’un doté de contrôleurs logiciels et l’autre de matériel de contrôle industriel standard ; les deux modèles simulaient les processus physiques.
Lors d’un test, l’attaque a retardé le démarrage du pompage d’eau propre d’environ 15 minutes. Lors d’un autre, une vanne simulée est restée ouverte pendant plus de neuf minutes de plus que prévu – une défaillance qui pourrait entraîner une perte d’eau traitée dans une usine réelle.
« Un attaquant n’a pas forcément besoin de déchiffrer votre chiffrement pour provoquer une perturbation », explique le Dr Karthik Pattabiraman, professeur de génie électrique et informatique à l’Université de la Colombie-Britannique et co-chercheur principal du projet, qui dirige le Laboratoire des systèmes fiables. « En observant simplement les flux de trafic, il peut identifier les moments où des messages critiques sont susceptibles d’être envoyés et les bloquer de manière sélective. Autrement dit, le blocage d’une petite quantité de trafic peut entraîner une perturbation opérationnelle bien plus importante. »
Les chercheurs ont choisi le traitement de l’eau car des schémas publics étaient disponibles pour reproduire les systèmes de contrôle de l’installation. Ils ont également testé leur méthode d’analyse du trafic sur plusieurs protocoles de communication industrielle, notamment un ensemble de données de réseau électrique, bien que les perturbations opérationnelles aient été observées dans les modèles de traitement de l’eau.
« À mesure que les systèmes industriels se connectent de plus en plus aux services hébergés dans le nuage, leur exposition aux attaques réseau comme ICS-Sniper pourrait s’accroître », a déclaré la première auteure de l’étude, la Dre Gargi Mitra, qui a mené ces recherches dans le cadre de son postdoctorat à l’Université de la Colombie-Britannique. « Notre objectif est de découvrir de nouvelles vulnérabilités avant les attaquants, afin que la communauté de la sécurité puisse les corriger pendant que ces services sont encore en phase de déploiement. »
Rendre les systèmes critiques plus difficiles à perturber
L’équipe travaille déjà sur des solutions pour protéger les infrastructures critiques contre ce type d’attaque.
Une approche consiste à rendre les communications réseau moins prévisibles, par exemple en augmentant la taille des messages ou en ajustant leur synchronisation afin de compliquer la tâche des attaquants qui tenteraient de distinguer les commandes critiques des échanges système courants.
Ces modifications devraient respecter les contraintes de synchronisation des équipements industriels. Une autre approche consiste à renforcer la résilience des systèmes de contrôle et de coordination des installations face aux perturbations réseau, notamment en prévoyant des itinéraires alternatifs pour les communications critiques.
« Notre objectif est de mettre en place une défense en profondeur et de rendre ces systèmes plus résilients face à des attaques de ce type », a déclaré Mehta.
L’équipe a également publié son code de recherche , les instructions pour reproduire les bancs d’essai en laboratoire et les données de trafic réseau de ces bancs d’essai afin que d’autres chercheurs en sécurité puissent reproduire les résultats et développer et tester des défenses.
À mesure que la société dépend de plus en plus des technologies interconnectées pour assurer les services essentiels, les chercheurs affirment que les stratégies de sécurité doivent protéger non seulement la confidentialité des données, mais aussi le bon fonctionnement des machines physiques lors d’une attaque.
Rappelons que SpyCloud a découvert des identifiants volés liés à des systèmes OT et d’accès à distance dans des services publics d’eau américains, révélant ainsi une autre voie potentielle pour les attaquants.
Les services de distribution d’eau américains doivent déjà se préoccuper des attaques de pirates informatiques ciblant les équipements industriels connectés à Internet. Le vol d’identifiants d’employés et de fournisseurs pourrait offrir aux attaquants une nouvelle porte d’entrée.
SpyCloud indique que 1 787 organisations liées au secteur américain de l’eau et des eaux usées présentent une exposition à des logiciels malveillants voleurs d’informations, dont 258 avec des identifiants compromis associés à la technologie opérationnelle ou aux systèmes d’accès à distance.