Les récentes frappes américaines et israéliennes contre des infrastructures iraniennes, notamment des banques et des installations pétrolières, ont conduit l’Iran à annoncer des actions de représailles visant des cibles occidentales équivalentes. Si le commandement militaire iranien a été désorganisé, il devrait se reconstituer sous une forme plus décentralisée. Les experts anticipent ainsi une évolution vers une forme de « guérilla cyber ». Cette approche pourrait chercher à affaiblir les capacités de frappe américaines en ciblant la base industrielle et technologique de défense (Defense Industrial Base – DIB), à fragiliser le soutien intérieur par des attaques contre les secteurs bancaire, des télécommunications, des services publics et de l’industrie manufacturière, ainsi qu’à viser les infrastructures pétrolières et gazières afin de provoquer des tensions sur les marchés et une hausse des prix.
Les premiers signes de cette escalade incluent des attaques contre des centres de données AWS aux Émirats arabes unis et à Bahreïn, ainsi que contre Stryker Medical et des systèmes hospitaliers au Royaume-Uni. Les activités observées comprennent l’usage de malwares destructeurs de type wiper (notamment des variantes associées à Stryker), des accès non autorisés à des systèmes de vidéosurveillance, tels que des caméras Hikvision, afin de faciliter un ciblage physique, ainsi que la diffusion de fausses informations sur les réseaux sociaux dans le but de semer la panique.
À court terme, les analystes en cybersécurité s’attendent à une intensification des opérations dans les semaines à venir, notamment :
des perturbations des capacités de fabrication, de production et de maintenance au sein de la DIB ;
des attaques contre le secteur pétrolier et gazier rappelant l’incident Colonial Pipeline ;
des interférences avec les systèmes financiers visant à paralyser les échanges commerciaux et à provoquer une volatilité des marchés ;
le ciblage de fournisseurs cloud afin d’interrompre des services numériques ;
des perturbations des services de santé susceptibles de mettre des patients en danger ;
des impacts sur les administrations, les collectivités locales et les établissements d’enseignement, entraînant une dégradation des services aux citoyens.
Pour se prémunir contre ces menaces, Horizon3.ai recommande de sécuriser en priorité les surfaces d’attaque initiales, telles que les VPN et les équipements en périphérie exposés à des vulnérabilités connues et activement exploitées recensées par la CISA (Known Exploited Vulnerabilities – KEV), notamment chez Fortinet, Ivanti et Citrix NetScaler, mais aussi Active Directory, les identifiants compromis et les outils de gestion à distance (RMM) présentant des KEV connues.
Actions prioritaires recommandées pour une mise en œuvre immédiate :
Évaluer, identifier et corriger rapidement les surfaces d’attaque exploitables au regard des tactiques, techniques et procédures (TTP) iraniennes.
Déployer des leurres (decoys) au sein des réseaux, en particulier dans Active Directory, afin d’améliorer les capacités de détection et d’accélérer la réponse aux incidents.
Évaluer et renforcer les contrôles critiques du centre des opérations de sécurité (SOC), notamment les solutions EDR (Endpoint Detection and Response) et SIEM (Security Information and Event Management).
Tester et répéter les procédures de réponse à incident, de confinement et d’éradication.
Identifier et protéger les données critiques, tout en validant les procédures de sauvegarde et de restauration.
« Nous devons dès maintenant nous mobiliser collectivement, en tant que praticiens de la cybersécurité, pour colmater les failles, nous assurer que les outils du SOC fonctionnent efficacement et acquérir les bons réflexes face aux attaques. Il s’agit de s’entraîner comme en situation réelle afin de savoir précisément quoi faire lorsque les choses dérapent », déclare Snehal Antani, CEO et cofondateur de Horizon3.ai.
Dans le cadre de son engagement auprès de ses clients, Horizon3.ai a renforcé ses capacités de recherche sur les attaques afin de maximiser la couverture des tactiques, techniques et procédures iraniennes connues au sein de NodeZero®. L’entreprise active également, à titre temporaire, la fonctionnalité de renseignement sur les acteurs de la menace iraniens pour l’ensemble des clients NodeZero®. Cette capacité permet aux équipes de défense d’identifier les vulnérabilités exploitables les plus susceptibles d’être ciblées dans les campagnes cyber iraniennes.
« La situation évolue chaque jour. Nous ne pouvons pas contrôler ce que fera l’adversaire, mais nous pouvons maîtriser notre niveau de préparation et notre capacité à défendre l’entreprise », ajoute Snehal Antani.
Horizon3.ai appelle les professionnels de la cybersécurité à agir sans délai et à intégrer ces recommandations à leurs plans de cyber-résilience.
