Un plan en cinq étapes pour contrer les campagnes destructrices iraniennes
Les tensions géopolitiques se répercutent de plus en plus dans le domaine numérique. Pour les CISO, cela implique de se préparer à des attaques motivées non par l’appât du gain, mais par le désir de perturber les opérations.
Des acteurs étatiques et des groupes politiquement alignés ont intensifié l’utilisation de logiciels malveillants destructeurs, visant à paralyser les organisations et les infrastructures critiques. Contrairement aux groupes de ransomware, dont l’objectif est d’obtenir une rançon, ces attaquants préfèrent le chaos opérationnel.
Les campagnes de wiper iraniennes illustrent parfaitement cette nouvelle tendance.
Ciblant des systèmes dans des chaînes d’approvisionnement essentielles, des écosystèmes de santé ou des infrastructures nationales, ces attaques visent à détruire des systèmes et à provoquer des conséquences sérieuses. Pour les responsables de la sécurité, la question ne se limite plus à la prévention des intrusions, mais à la survie face à ces menaces.
Des événements récents soulignent l’ampleur potentielle de ces incidents. En mars 2026, le groupe iranien Handala a attaqué Stryker, un fabricant de technologies médicales figurant dans le Fortune 500, occasionnant la suppression de dizaines de milliers de dispositifs dans le réseau mondial de l’entreprise. Les opérations ont été perturbées dans 79 pays, affectant des milliers d’employés et ralentissant considérablement la production, le traitement des commandes et la logistique.
Ces incidents traduisent une nouvelle réalité : les cyberattaques sont de plus en plus liées à des conflits géopolitiques.
Malgré leur gravité, les campagnes cybernétiques destructrices suivent des modèles opérationnels prévisibles. En comprenant ces schémas, les défenseurs peuvent limiter les dégâts, même après une intrusion réussie.
Déroulement typique des attaques wiper iraniennes
Des recherches sur les menaces relatives au groupe Handala (ou Void Manticore) révèlent que de nombreuses campagnes destructrices iraniennes reposent davantage sur des opérations manuelles que sur des logiciels malveillants avancés.
Les attaquants procèdent généralement comme suit :
- Accès initial via des identifiants VPN volés
- Activités manuelles dans l’environnement
- Déplacements latéraux en utilisant des outils administratifs
- Escalade des privilèges
- Déploiement simultané de plusieurs mécanismes de suppression
Ils s’appuient fréquemment sur des outils déjà existants dans les environnements d’entreprise, tels que :
- RDP
- PowerShell remoting
- WMI
- SMB
- SSH
Grâce à la légitimité de ces outils, les attaquants peuvent souvent se déplacer à l’intérieur des réseaux sans déclencher les systèmes de détection traditionnels.
Les chercheurs ont aussi observé l’établissement de chemins d’accès cachés via des outils de tunneling tels que NetBird, permettant ainsi aux opérateurs de maintenir une connectivité persistante au sein des systèmes victimes.
En d’autres termes, le succès de ces attaques ne repose pas tant sur la sophistication des logiciels malveillants que sur la capacité des attaquants à se déplacer librement dans les réseaux une fois qu’ils y ont accès.
Pour arrêter ces campagnes, il est donc crucial de se concentrer sur la containment et le contrôle interne, plutôt que simplement sur la défense du périmètre.
La sécurité réactive ne peut pas suivre le rythme des attaques modernes ; la résilience cybernétique exige une limitation des mouvements latéraux avant que les dommages ne se propagent.
Stratégie de containment en cinq étapes pour les CISO
Sur la base des tactiques observées lors des campagnes récentes, les CISO peuvent considérablement atténuer l’impact des attaques destructrices en mettant en place plusieurs contrôles clés.
1. Éviter le vol d’identifiants menant à un accès complet au réseau
La plupart des campagnes destructrices commencent par des identifiants compromis obtenus par phishing, réutilisation de mots de passe ou via des courtiers d’accès.
Dans de nombreux environnements, une authentification VPN réussie permet un large accès au réseau interne, ce sur quoi s’appuient souvent les attaquants.
Les organisations devraient mettre en œuvre :
- Des contrôles d’accès basés sur l’identité au lieu d’une connectivité réseau plate
- Une authentification multifactorielle obligatoire lors de l’accès aux services administratifs, et pas uniquement lors de la connexion VPN
- Une visibilité continue sur les identités accédant à quels systèmes
Even si les attaquants s’authentifient avec succès, ils ne devraient pas pouvoir accéder directement aux services administratifs.
2. Prévenir le mouvement latéral par les ports administratifs
Les opérateurs iraniens se déplacent fréquemment latéralement en utilisant des protocoles administratifs standards disponibles dans l’environnement.
Ces services, souvent laissés ouverts pour la commodité opérationnelle, permettent aux attaquants de se déplacer rapidement entre les systèmes.
Un modèle plus résilient comprend :
- Des politiques par défaut refusant l’accès aux ports administratifs
- Un accès qui ne s’ouvre qu’après authentification vérifiée
- Une visibilité en temps réel de la connectivité entre systèmes
Cela réduit considérablement le nombre de chemins exploitables par les attaquants.
3. Restreindre les comptes privilégiés aux systèmes qu’ils gèrent réellement
De nombreux environnements accordent encore aux administrateurs un accès large à des portions du réseau.
Cette commodité crée un risque.
Si les attaquants compromettent un compte privilégié, ils peuvent accéder à presque tous les systèmes de l’environnement.
Les organisations doivent donc :
- Segmenter l’accès privilégié en fonction des rôles et de l’environnement
- Limiter les administrateurs aux systèmes spécifiques qu’ils gèrent
- Surveiller en continu l’activité d’accès privilégié
Réduire la portée de l’accès administratif diminue considérablement le périmètre de dégâts potentiels.
4. Détecter les chemins et tunnels d’accès non autorisés
Les rapports récents sur les menaces montrent que les opérateurs iraniens utilisent des outils de tunneling pour maintenir une connectivité cachée au sein des réseaux victimes.
Ces tunnels peuvent contourner la surveillance traditionnelle du périmètre.
Il est donc essentiel que les défenseurs aient une visibilité interne au réseau, y compris :
- Surveillance de la connectivité est-ouest
- Établissement des bases de communication administrative
- Détection des chemins de connexion inhabituels ou de comportements de tunneling
Lorsque des schémas de connectivité anormaux apparaissent, les défenseurs peuvent intervenir avant que des activités destructrices ne commencent.
5. Contenir l’activité destructive avant qu’elle ne se propage
Lorsque le malware de type wiper commence à s’exécuter, les attaquants déploient souvent plusieurs méthodes de suppression en simultané pour maximiser les dégâts.
À ce stade, la rapidité est essentielle.
Les organisations qui parviennent à survivre à de tels incidents destructeurs se concentrent sur la containment.
Les capacités clés incluent :
- Isolement automatisé des systèmes compromis
- Restriction immédiate des chemins d’accès administratifs
- Fermeture rapide des hôtes affectés
Si la containment est effectuée rapidement, l’attaque peut n’affecter qu’un nombre limité de systèmes au lieu de se propager dans l’ensemble de l’environnement.
Enseignement stratégique pour les CISO
Les campagnes destructrices iraniennes révèlent une vérité inconfortable : les attaquants n’ont pas nécessairement besoin de logiciels malveillants sophistiqués lorsque les réseaux permettent un accès interne sans restriction.
La défense la plus efficace ne réside pas seulement dans la détection précoce de fichiers malveillants.
Elle consiste à retirer aux attaquants la capacité de se mouvoir.
Les organisations qui limitent régulièrement l’impact des attaques destructrices partagent trois capacités essentielles :
- Visibilité sur qui peut accéder à quoi dans l’environnement
- Contrôle des services administratifs et de l’accès privilégié
- Containment automatisée qui limite le périmètre de dégâts
Les attaquants peuvent encore pénétrer le réseau.
Mais s’ils ne peuvent pas se déplacer, ils ne peuvent pas détruire l’environnement.
Cette capacité pourrait déterminer si une organisation reste opérationnelle ou non.