Wiper

Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025 au moins 30 fermes éoliennes/solaires, une grande centrale de cogénération (CHP) et une entreprise manufacturière en Pologne. Les opérations ont touché à la fois l’IT et l’OT, sans demande de rançon, et ont été conduites par un même acteur. • Cible et impact OT (renouvelables) ⚡️ Perte de communication entre les sites et les DSOs via le GCP; production non interrompue mais risque de perturbation. Vecteur: dispositifs FortiGate exposés (SSL‑VPN sans MFA, comptes statiques), réinitialisés usine pour effacer les traces. Actions: exploitation d’identifiants par défaut et interfaces locales pour endommager l’OT: Hitachi RTU560: connexion web avec compte “Default”, téléversement de firmware corrompu (ELF modifié) causant boucle de reboot; sécurisation de mise à jour non activée ou contournée (CVE‑2024‑2617; corrigé en 13.7.7). Mikronika RTUs: SSH root par défaut, suppression massive de fichiers. Hitachi Relion 650 v1.1 (IEDs): FTP par défaut pour supprimer des fichiers critiques → arrêt irréversible. Mikronika HMI (Win10): RDP via admin local connu, ouverture SMB/445, Impacket, déploiement de DynoWiper. Moxa NPort 6xxx: reset usine, mot de passe changé, IP mise à 127.0.0.1 pour retarder la reprise. • Intrusion et tentative de sabotage IT (CHP) 🏭 ...

Selon Zero Day (Kim Zetter), une opération de cyberattaque visant le réseau énergétique polonais fin décembre a employé un malware de type wiper — baptisé DynoWiper par ESET — dans une tentative délibérée de provoquer des coupures de courant et des perturbations de services, finalement déjouée par les autorités polonaises. 🎯 Cibles: deux centrales chaleur-électricité et un système de gestion de l’électricité renouvelable (éolien, solaire), au sein de la chaîne production + distribution. 💥 Type d’attaque: wiper (effacement/sabotage de fichiers critiques pour rendre les systèmes inopérants). ⚠️ Impact potentiel: jusqu’à 500 000 personnes privées d’électricité selon les autorités, mais aucune interruption constatée. ESET, qui a obtenu un échantillon du malware et l’a nommé DynoWiper, qualifie l’opération d’inédite en Pologne par son intention disruptive/destructive. Bien que l’attaque ait été neutralisée à temps, les chercheurs estiment qu’elle aurait pu être substantielle si elle avait abouti. Les autorités polonaises et ESET attribuent avec une confiance moyenne l’opération à Sandworm (lié au GRU), en raison de tactiques et techniques similaires à des campagnes de wipers en Ukraine. ...

Selon Ars Technica, s’appuyant sur une analyse d’ESET et des informations de Reuters, une tentative d’attaque fin décembre a visé le réseau électrique polonais. L’opération visait les communications entre des installations d’énergies renouvelables et les opérateurs de distribution, mais a échoué à interrompre l’alimentation électrique. ESET indique que l’outil employé était un wiper 🧹, un malware conçu pour effacer de façon permanente du code et des données, avec pour objectif de détruire les opérations. L’étude des TTPs a conduit les chercheurs à attribuer vraisemblablement l’attaque au groupe étatique russe Sandworm ️. ...

Selon BleepingComputer, deux paquets NPM malveillants présentés comme des outils de développement pour WhatsApp ont été découverts avec un code destructeur capable d’effacer des données sur les postes des développeurs. ⚠️ Les paquets usurpent l’identité d’outils liés à WhatsApp et contiennent un code de type wiper qui supprime récursivement les fichiers. L’objectif apparent est la destruction de données sur les environnements de développement. Impact: les machines des développeurs qui installent ces paquets sont exposées à une perte de données significative du fait de la suppression en profondeur des fichiers. ...

L’article, publié par Trend Micro, examine l’émergence du ransomware Anubis, un groupe de ransomware-as-a-service (RaaS) qui se distingue par sa capacité à non seulement chiffrer les fichiers, mais aussi à les détruire définitivement. Anubis est actif depuis décembre 2024 et a ciblé plusieurs secteurs, notamment la santé et la construction, dans des régions comme l’Australie, le Canada, le Pérou et les États-Unis. Le groupe utilise une approche d’extorsion double, combinant le chiffrement des données avec une fonction de destruction de fichiers qui rend la récupération impossible, même si la rançon est payée. ...