Sandworm

Selon Zero Day (Kim Zetter), une opération de cyberattaque visant le réseau énergétique polonais fin décembre a employé un malware de type wiper — baptisé DynoWiper par ESET — dans une tentative délibérée de provoquer des coupures de courant et des perturbations de services, finalement déjouée par les autorités polonaises. 🎯 Cibles: deux centrales chaleur-électricité et un système de gestion de l’électricité renouvelable (éolien, solaire), au sein de la chaîne production + distribution. 💥 Type d’attaque: wiper (effacement/sabotage de fichiers critiques pour rendre les systèmes inopérants). ⚠️ Impact potentiel: jusqu’à 500 000 personnes privées d’électricité selon les autorités, mais aucune interruption constatée. ESET, qui a obtenu un échantillon du malware et l’a nommé DynoWiper, qualifie l’opération d’inédite en Pologne par son intention disruptive/destructive. Bien que l’attaque ait été neutralisée à temps, les chercheurs estiment qu’elle aurait pu être substantielle si elle avait abouti. Les autorités polonaises et ESET attribuent avec une confiance moyenne l’opération à Sandworm (lié au GRU), en raison de tactiques et techniques similaires à des campagnes de wipers en Ukraine. ...

Selon Ars Technica, s’appuyant sur une analyse d’ESET et des informations de Reuters, une tentative d’attaque fin décembre a visé le réseau électrique polonais. L’opération visait les communications entre des installations d’énergies renouvelables et les opérateurs de distribution, mais a échoué à interrompre l’alimentation électrique. ESET indique que l’outil employé était un wiper 🧹, un malware conçu pour effacer de façon permanente du code et des données, avec pour objectif de détruire les opérations. L’étude des TTPs a conduit les chercheurs à attribuer vraisemblablement l’attaque au groupe étatique russe Sandworm ️. ...

Selon security.com, une campagne attribuée à des acteurs liés à la Russie (Sandworm/Seashell Blizzard, GRU) a visé des services d’entreprises et des entités gouvernementales en Ukraine pendant deux mois, avec pour objectifs l’exfiltration d’informations sensibles et l’accès persistant au réseau. L’attaque s’appuie sur le déploiement de webshells sur des serveurs exposés et non corrigés, dont le webshell Localolive associé à Sandworm. Les assaillants ont privilégié des tactiques de type Living-off-the-Land, limitant l’empreinte malveillante et démontrant une connaissance approfondie des outils natifs Windows. ...