Bulletin sur les cybermenaces : Les activités de cybermenace liées à l’invasion de l’Ukraine par la Russie

À propos du présent document

Auditoire

Le présent bulletin sur les cybermenaces est destiné à la collectivité de la cybersécurité. Tout en étant soumise aux règles standard de droit d’auteur, l’information TLP:WHITE peut être distribuée sans aucune restriction. Pour obtenir de plus amples renseignements sur le protocole TLP Traffic Light Protocol - (en anglais seulement), prière de consulter la page Web.

Coordonnées

Prière de transmettre toute question ou tout enjeu relatif au présent document au Centre canadien pour la cybersécurité à contact@cyber.gc.ca.

Table des matières

• À propos du présent document
  • Auditoire
  • Coordonnées
  • Méthodologie et fondement de l’évaluation
• Principaux avis
• Cyberactivités attribuées ou liées à la Russie en sol Ukrainien
  • Cyberactivités visant les communications ukrainiennes
  • Cyberactivités visant le secteur de l’énergie de l’Ukraine
  • Cyberactivités visant le gouvernement ukrainien
  • Chronologie des attaques militaires et des cyberopérations en Ukraine – du 14 février au 16 mai
• Cyberactivités notables attribuées ou liées à la Russie touchant d’autres pays
  • Ciblage de l’UE et de l’OTAN
  • Au Canada
• Auteurs de menace non étatiques ciblant la Russie
• Acteurs clés dans les cyberactivités liées à l’invasion de l’Ukraine par la Russie
  • Auteurs de cybermenace parrainés par la Russie
  • Auteurs de cybermenace prorusses
  • Cybercriminels et hacktivistes
• Principaux indicateurs liés à des scénarios de cybermenace
  • Indicateurs contextuels
  • Indicateurs de cyberactivités
• Atténuation des risques, sensibilisation et renforcement de la cybersécurité
  • Publication de divers produits d’avertissement par le Centre pour la cybersécurité et ses alliés
  • Le CST alerte les Canadiens sur les activités de désinformation de la Russie
• Notes de bas de page

Méthodologie et fondement de l’évaluation

Les principaux avis formulés dans la présente évaluation se basent sur de multiples sources classifiées et non classifiées. Ils sont fondés sur les connaissances et l’expertise du Centre canadien pour la cybersécurité (Centre pour la cybersécurité) en matière de cybersécurité. En défendant les systèmes d’information du gouvernement du Canada (GC), le Centre pour la cybersécurité bénéficie d’une perspective unique lui permettant d’observer les tendances dans l’environnement de cybermenaces et d’appuyer ses évaluations. Dans le cadre du volet du mandat du Centre de la sécurité des télécommunications (CST) touchant le renseignement étranger, le Centre pour la cybersécurité tire parti d’information précieuse sur les habitudes des adversaires dans le cyberespace. Bien que le Centre pour la cybersécurité soit toujours tenu de protéger les sources et méthodes classifiées, il fournira au lecteur, dans la mesure du possible, les justifications qui ont motivé ses avis.

Les avis du Centre pour la cybersécurité sont basés sur un processus d’analyse qui comprend l’évaluation de la qualité de l’information disponible, l’étude de différentes explications, l’atténuation des biais et l’usage d’un langage probabiliste. On emploiera des termes tels que « nous estimons que » ou « selon nos observations » pour communiquer les évaluations analytiques. On utilisera des qualificatifs comme « possiblement », « probable » et « très probable » pour exprimer les probabilités.

Le présent document est basé sur des renseignements disponibles en date du 22 juin 2022.

Cyberactivités attribuées ou liées à la Russie en sol Ukrainien

Selon toute vraisemblance, les cyberopérations de la Russie ont cherché jusqu’ici à détériorer, à perturber, à détruire ou à discréditer le gouvernement, les forces militaires et les fonctions économiques ukrainiens, à s’implanter dans les infrastructures essentielles et à restreindre l’accès de la population ukrainienne à l’information.^{Note de bas de page 3} Les auteurs de cybermenace parrainés par la Russie poursuivront sans doute leurs activités malveillantes pour appuyer les objectifs tactiques et stratégiques des forces militaires russes en Ukraine.

Depuis l’annexion de la Crimée par la Russie en 2014, l’Ukraine a considérablement amélioré sa situation en matière de cybersécurité, notamment avec l’assistance récente de gouvernements et d’entreprises spécialisées dans la technologie de l’UE et de la collectivité des cinq (Australie, Canada, Nouvelle-Zélande, Royaume-Uni et États-Unis).^{Note de bas de page 4}

À la suite de l’invasion de l’Ukraine par la Russie le 24 février 2022, des auteurs de menace présumés russes ont réalisé plusieurs attaques perturbantes et destructrices contre les réseaux informatiques de cibles ukrainiennes, y compris des attaques par déni de service distribué (DDoS pour Distributed Denial of Service) et le déploiement de maliciels effaceurs dans de nombreux secteurs, dont les secteurs du gouvernement, des finances et de l’énergie. Les cyberopérations ont souvent coïncidé avec des opérations militaires conventionnelle .

Pour l’instant, les auteurs de cybermenace associés à la Russie ont employé huit familles dépistées de maliciels dans le cadre de leurs activités destructrices contre l’Ukraine : WhisperGate/Whisperkill, FoxBlade (HermeticWiper), SonicVote (HermeticRansom), CaddyWiper, DesertBlade, Industroyer2, Lasainraw (IsaacWiper) et FiberLake (DoubleZero).^{Note de bas de page 5}

À la mi-avril, des auteurs de cybermenace parrainés par la Russie ont lancé quatre variants différents d’un nouveau maliciel contre diverses cibles ukrainiennes. Des sociétés de cybersécurité ont attribué ces attaques au groupe Armageddon (alias Gamaredon/Shuckworm), qui a été lié au Service fédéral de sécurité (FSB) de la Russie.^{Note de bas de page 6}

Cyberactivités visant les communications ukrainiennes

Au début mars, le Service de sécurité de l’Ukraine (SBU) a signalé que des auteurs de cybermenace avaient compromis des sites Web d’autorités régionales et locales afin de publier de la désinformation sur la capitulation de l’Ukraine et la signature d’un traité de paix avec la Russie.^{Note de bas de page 7}

Au cours de cette même période, des auteurs de menace de connivence avec la Russie auraient brouillé la connexion qui relie le service Internet par satellite Starlink de SpaceX et les terminaux connexes, lesquels fournissaient un accès Internet supplémentaire au gouvernement ukrainien. Depuis, Starlink a apporté des modifications à son logiciel et le brouillage ne s’est pas reproduit.^{Note de bas de page 8}

À la fin mars, des auteurs de menace soupçonnés d’avoir fait allégeance à la Russie ont causé une importante interruption de services touchant Ukrtelecom, un fournisseur ukrainien d’accès Internet, ce qui a occasionné l’une des pannes Internet les plus étendues dans le pays depuis le début de l’invasion.^{Note de bas de page 9}

À la fin avril, l’équipe d’intervention en cas d’urgence informatique de l’Ukraine (CERT-UA) avait publié une mise en garde contre des attaques constantes par DDoS visant des sites pro-ukrainiens et le portail Web du gouvernement, qui étaient réalisées par l’entremise de sites WordPress compromis.^{Note de bas de page 10}

Cyberactivités visant le secteur de l’énergie de l’Ukraine

Au début avril, des auteurs de cybermenace du service de renseignement militaire russe (GRU), alias l’équipe Sandworm, ont tenté de déployer le maliciel Industroyer2 ainsi que plusieurs familles de maliciels destructeurs contre des sous-stations électriques haute tension en Ukraine dans le but de causer des pannes d’électricité généralisées.^{Note de bas de page 11} Ils sont parvenus à se déplacer du réseau de technologies de l’information (TI) au réseau du système de contrôle industriel (SCI) de la victime. La CERT-UA, en collaboration avec l’entreprise de sécurité Internet slovaque ESET, a réussi à remédier à l’intrusion et à protéger le réseau ciblé.^{Note de bas de page 12}

Cyberactivités visant le gouvernement ukrainien

En mai 2022, l’équipe XakNet a affirmé qu’elle s’était introduite dans le réseau du ministère des Affaires étrangères de l’Ukraine et avait exfiltré des documents qu’elle a publiés sur les médias sociaux dans le cadre d’une opération de piratage et de fuite de données.^{Note de bas de page 13} L’équipe XakNet a offert une prime à ses 20 000 abonnés pour les analyses de données les plus élaborées.

À maintes reprises, des auteurs de menace liés à la Russie ont déployé une variété de maliciels effaceurs ainsi que des attaques par DDoS contre divers ministères du gouvernement ukrainien.^{Note de bas de page 14}

Chronologie des attaques militaires et des cyberopérations en Ukraine – du 14 février au 16 mai ^{Note de bas de page 15}

Exemples de cyberactivités et d’activités cinétiques d’envergure orchestrées par la Russie.

Février 2022

Activités cinétiques

• 

  24 février
  Avancée des chars d’assaut russes dans le centre-ville de Soumy

Cyberactivités d’envergure orchestrées par la Russie

• 

  14 février
  Compromission d’infrastructures essentielles basées à Odessa par des auteurs vraisemblablement russes

• 

  17 février
  Présence d’auteurs de menace présumés russes sur des réseaux d’infrastructures essentielles à Soumy

• 

  24 février
  Interruption de la majorité du réseau de communications européen KA-SAT par des auteurs de menace russes

• 

  28 février
  Compromission d’une entreprise médiatique basée à Kyiv par un auteur malveillant

Mars 2022

Activités cinétiques

• 

  1er mars
  Frappe d’un missile sur la tour de télévision de Kyiv

• 

  3 mars
  Pannes d’électricité généralisées à Soumy et explosions dans des centrales électriques

• 

  3 mars
  Prise de contrôle de la centrale nucléaire principale de l’Ukraine par les forces militaires russes

• 

  6 mars
  Huit missiles lancés sur l’aéroport de Vinnytsia par les forces russes

• 

  11 mars
  Premières frappes russes à Dnipro sur des édifices gouvernementaux

• 

  16 mars
  Frappes de roquettes russes sur la tour de télévision de Vinnytsia

Cyberactivités d’envergure orchestrées par la Russie

• 

  1er mars
  Attaques destructrices et exfiltration de données orchestrées contre des entreprises médiatiques basées à Kyiv

• 

  2 mars
  Déplacement latéral sur le réseau d’une centrale nucléaire ukrainienne par un groupe russe

• 

  4 mars
  Compromission du réseau gouvernemental à Vinnytsia par APT28

• 

  11 mars
  Implant destructeur lancé contre un organisme gouvernemental à Dnipro

• 

  28 mars
  Pannes généralisées dans une entreprise de télécommunications ukrainienne à la suite d’une cyberattaque

Avril 2022

Activités cinétiques

• 

  3 avril
  Frappes aériennes russes sur des dépôts de carburant et des raffineries en périphérie d’Odessa

• 

  8 avril
  Frappes de missiles russes sur la gare ferroviaire de Kramatorsk

• 

  10 avril
  Destruction de l’aéroport international de Dnipro découlant de bombardements russes

• 

  19 avril
  Lancement de missiles russes simultanés sur Kyiv et Lviv

Cyberactivités d’envergure orchestrées par la Russie

• 

  8 avril
  Réseau électrique ukrainien ciblé par Sandworm

• 

  22 avril
  Attaque par DDoS menée contre le service postal national de l’Ukraine

Mai 2022

Activités cinétiques

• 

  16 mai
  Prise de contrôle total de Marioupol par les forces russes

Cyberactivités d’envergure orchestrées par la Russie

La collecte de données pour cette ligne du temps s’est conclue le 16 mai. Les cyberactivités se sont toutefois poursuivies.

Cyberactivités notables attribuées ou liées à la Russie touchant d’autres pays

Tandis que les activités de cybermenace russes dans le contexte de la guerre en Ukraine ont visé principalement des cibles ukrainiennes, plusieurs incidents ont débordé sur d’autres pays, et les effets de ces débordements demeurent une menace préoccupante pour la communauté internationale.

À titre d’exemple, des auteurs de cybermenace russes ont amorcé une opération le 24 février 2022 qui a déstabilisé la majorité du réseau européen du service de télécommunications par satellite KA-SAT de Viasat et qui avait pour but d’interrompre les capacités de communication des forces militaires ukrainiennes.^{Note de bas de page 16} Le 10 mars, des milliers de modems du réseau satellitaire KA-SAT ont été rendus inexploitables, y compris des modems situés en France, en Allemagne, en Grèce, en Hongrie, en Italie et en Pologne. Le 10 mai 2022, le Canada et ses alliés de la collectivité des cinq, de même que l’UE et l’Ukraine, ont attribué publiquement cette attaque au gouvernement russe.^{Note de bas de page 17}

Entre le 15 et le 22 avril, Killnet, un groupe de piratage informatique sympathisant de la Russie, a revendiqué plus de 20 attaques par DDoS qui ont touché de nombreux secteurs des infrastructures essentielles en République tchèque, en Estonie, en Lettonie, en Pologne, au Royaume-Uni et aux États-Unis.^{Note de bas de page 18}

Ciblage de l’UE et de l’OTAN

Il y a tout lieu de croire que les auteurs de cybermenace parrainés par la Russie ont redoublé d’efforts en matière de cyberespionnage contre les pays de l’OTAN qui ont exprimé leur soutien à l’Ukraine. Depuis janvier 2022, les auteurs de cybermenace russes ont ciblé des entités du gouvernement, du milieu universitaire, du secteur privé et des infrastructures essentielles au Danemark, en Lettonie, en Lituanie, en Norvège, en Pologne, aux États-Unis et en Turquie pour des motifs de cyberespionnage, de même que des entités en Finlande et en Suède, deux pays ayant soumis leur demande d’adhésion à l’OTAN à la suite de l’invasion de l’Ukraine par la Russie en février.^{Note de bas de page 19}

Au début avril, les autorités ukrainiennes ont signalé publiquement que des cibles du gouvernement ukrainien et de gouvernements non précisés de l’UE avaient fait l’objet de plusieurs tentatives de harponnage attribuées à des auteurs de cybermenace du FSB.^{Note de bas de page 20}

À la fin avril, le groupe de piratage informatique Hive0117, motivé par le gain financier et jusqu’alors inconnu, a mené une campagne d’hameçonnage contre divers pays de l’Europe de l’Est dans laquelle il se faisait passer pour un organisme russe et transmettait une copie du maliciel DarkWatchman.^{Note de bas de page 21}

À la mi-mai, un auteur de menace inconnu a créé un site Web fictif dans le but d’inciter des utilisateurs allemands démontrant un intérêt pour la crise en Ukraine à télécharger des documents malveillants en vue de les infecter d’un cheval de Troie personnalisé autorisant l’accès à distance à PowerShell et ensuite voler des données.^{Note de bas de page 22}

Nous croyons que la Russie est presque inévitablement en train de développer des cybercapacités contre des cibles de l’UE et l’OTAN, y compris les États-Unis et le Canada.^{Note de bas de page 23}

Au Canada

Dès janvier 2022, du renseignement en pleine évolution indiquait que des auteurs de cybermenace de la Russie exploraient les possibilités de contre-attaques visant les États-Unis, le Canada et d’autres pays de l’OTAN et de la collectivité des cinq, y compris leurs infrastructures essentielles.^{Note de bas de page 24} Les auteurs de menace cautionnés par la Russie ont déjà prouvé qu’ils étaient capables d’interrompre les systèmes de contrôle industriels (SCI) à l’aide de maliciels destructeurs. Par ailleurs, certains auteurs de cybermenace prorusses ont menacé de lancer des cyberopérations contre les pays et organisations qui fournissaient une aide matérielle à l’Ukraine.^{Note de bas de page 25}

Auteurs de menace non étatiques ciblant la Russie

En riposte à un déferlement de cyberattaques d’origine russe contre l’Ukraine avant et pendant l’invasion, plusieurs auteurs de cybermenace non étatiques ont manifesté leur soutien pour l’Ukraine en répondant notamment à l’appel du gouvernement ukrainien destiné à demander l’aide de pirates informatiques volontaires pour démanteler des sites Web russes.^{Note de bas de page 26}

Le pirate YourAnonSpider, affilié au collectif d’hacktivistes Anonymous, a revendiqué la cyberattaque du début mai contre RuTube, laquelle a mis la plateforme vidéo de la Russie hors service pendant au moins deux jours.^{Note de bas de page 27} Au cours de cette même période, le groupe NB65, également affilié à Anonymous, s’est déclaré responsable des pannes serveur touchant plusieurs importants réseaux de télévision russes.^{Note de bas de page 28}

De mars à avril, des pirates ont affirmé qu’ils avaient compromis des douzaines de sociétés et d’établissements russes, y compris l’un des principaux services de renseignement de la Russie. Anonymous et Network Battalion 65, en collaboration avec Distributed Denial of Secrets (qui se présente comme un « collectif de transparence »), ont revendiqué un grand nombre de ces opérations. À la mi-juin, Anonymous a également affirmé qu’il avait piraté les plans de véhicules aériens spatiaux sans pilote de la Russie.^{Note de bas de page 29}

Acteurs clés dans les cyberactivités liées à l’invasion de l’Ukraine par la Russie

Nous évaluons que les cyberopérations liées à l’invasion de l’Ukraine par la Russie ont été certainement beaucoup plus sophistiquées et étendues que l’ont laissé entendre les sources d’information publiques. Des auteurs de menace ont réalisé des cyberopérations pour le compte de la Russie et de l’Ukraine.

Auteurs de cybermenace parrainés par la Russie

Certaines activités de cybermenace contre l’Ukraine proviennent de divers auteurs associés aux trois principaux services de renseignement russes, soit le FSB, le Service de renseignements extérieurs (SVR) et le GRU. Ces auteurs ont participé à toute une gamme d’activités malveillantes contre l’Ukraine, y compris des cyberopérations perturbantes et destructrices.^{Note de bas de page 30}

Auteurs de cybermenace prorusses

GHOSTWRITER/UNC1151 est un collectif de longue date réalisant des activités d’influence étrangère en ligne et qui serait associé aux gouvernements de la Russie et de la Biélorussie. Ses activités comprennent la désinformation, la collecte de justificatifs d’identité, la conduite d’opérations de piratage et de fuite, l’espionnage et la conduite d’attaques sous faux pavillon.^{Note de bas de page 31}

Cybercriminels et hacktivistes

Principaux indicateurs liés à des scénarios de cybermenace

Le CST surveille des sources d’information classifiées et non classifiées afin de déterminer l’intention stratégique des auteurs de cybermenace. Puisque les cyberactivités russes sont issues des objectifs en matière de politiques énoncés par le gouvernement russe, le CST est également à l’affût des rapports classifiés et de source ouverte sur l’évolution de la situation nationale en Russie.

Bien qu’il soit difficile de prédire les cyberactivités futures, nous avons l’œil notamment sur les indicateurs suivants :

Atténuation des risques, sensibilisation et renforcement de la cybersécurité

Depuis la mi-janvier, le Centre a communiqué à tous les secteurs des infrastructures essentielles canadiennes la nécessité de redoubler de vigilance et de suivre les avis du Centre pour la cybersécurité concernant les tactiques, les techniques et les procédures des auteurs de cybermenace russes. L’information du Centre a été diffusée publiquement dans la mesure du possible et par l’intermédiaire de canaux de confiance pour les avis et les indicateurs techniques plus sensibles liés à la crise actuelle.

Publication de divers produits d’avertissement par le Centre pour la cybersécurité et ses alliés

Depuis 2021, durant le renforcement de la présence militaire russe le long de la frontière ukrainienne et à la suite de l’invasion russe en sol ukrainien sans justification ni provocation, le Centre pour la cybersécurité a surveillé de près l’évolution des menaces ainsi que leurs effets, intentionnels et indirects, sur les organisations et la population canadiennes. Au cours de cette période, le Centre pour la cybersécurité a publié huit produits visant à conseiller, à alerter et à informer les destinataires sur les menaces et les effets possibles de l’invasion de l’Ukraine par la Russie :

Le CST alerte les Canadiens sur les activités de désinformation de la Russie

Outre les efforts de cyberespionnage et les cyberattaques destructrices, des auteurs de cybermenace affiliés à la Russie et parrainés par celle-ci ont déployé des opérations de cyberinfluence conçues pour appuyer les objectifs de guerre de la Russie. Le 1er avril 2022, le CST a commencé à déclassifier du renseignement et à le publier sur l’un de ses comptes de médias sociaux en vue d’exposer des éléments de désinformation que la Russie propage au sujet du conflit en Ukraine :

• Le 6 avril, le CST a signalé que la Russie prétendait que les États-Unis avaient établi des laboratoires biologiques dans des pays de l’ex-URSS et qu’ils se servaient de l’Ukraine comme terrain d’expérimentation biologique.^{Note de bas de page 40}
• Le 13 avril, le CST a révélé que la Russie propageait de fausses allégations au sujet de membres des Forces armées canadiennes qui commettaient des crimes de guerre en Ukraine et qu’elle utilisait des images altérées pour renforcer ses faussetés au sujet de l’implication du Canada dans le conflit.^{Note de bas de page 41}
• Le 25 avril, le CST a indiqué que la Russie rejetait intentionnellement le blâme concernant les atrocités commises par les forces russes et qu’elle répandait de fausses allégations selon lesquelles l’Ukraine avait violé la Convention de Genève et que cette violation avait mené à des dissensions au sein de l’armée ukrainienne.^{Note de bas de page 42}

Le manque de signalement des incidents demeure un défi : nous encourageons fortement les entités canadiennes de tous les secteurs essentiels à signaler les compromissions réelles ou potentielles au Centre pour la cybersécurité, qui se fonde sur cette information pour brosser un tableau complet des cybermenaces pesant sur le Canada, de même que pour parfaire ses avis et ses conseils destinés à la défense contre les tactiques en constante évolution.

• de notifications, ainsi que d’avis et de conseils initiaux;
• de soutien visant à contenir et à atténuer les menaces;
• d’analyses des journaux et des maliciels; et
• d’analyses de criminalistique numérique.

Pour signaler une compromission ou obtenir des conseils, prière de communiquer avec le Centre pour la cybersécurité au 1-833-CYBER-88 ou à contact@cyber.gc.ca.