Cyberattaque en Ukraine : les pistes mènent à un groupe de hackers bien connu

Des millions d’Ukrainiens se sont retrouvés sans téléphone ni accès à internet, le 12 décembre 2023. Le directeur général de Kyivstar, le premier opérateur mobile du pays, a laissé entendre que la Russie pourrait être responsable du problème. Les sirènes d’alerte aérienne de la ville de Soumy, dans le nord-est du pays, ont également subi des perturbations en raison de la panne. La plus grande banque ukrainienne, PrivatBank, a déclaré que certains distributeurs automatiques de billets ne fonctionnaient pas à cause des problèmes de connexion.

Deux jours après cette cyberattaque d’ampleur, les abonnés de Kyivstar commencent à retrouver leur connexion, pendant que le SBU, le renseignement ukrainien, mène l’enquête. Sur Telegram, un coupable russe a revendiqué l’attaque : le groupe Solntsepek. « Nous, les hackers de Solntsepek, assumons l’entière responsabilité de la cyberattaque contre Kyivstar. Nous avons détruit 10 000 ordinateurs, plus de 4 000 serveurs, tous les systèmes de stockage cloud et de sauvegarde », peut-on lire dans un message publié ce 13 décembre. Aucun moyen de vérifier ces chiffres, probablement exagérés.

Le message comprend des captures d’écran qui semblent montrer un accès au réseau de Kyivstar, sans que l’on puisse les vérifier. La société a démenti certaines des affirmations de Solntsepek dans une publication sur X (ex-Twitter), écrivant : « Nous vous assurons que les rumeurs sur la destruction de nos ordinateurs et serveurs sont tout simplement fausses. »

Une unité de renseignement de l’armée russe

Solntsepek n’est pas le plus populaire des groupes d’hacktivistes connus pour harceler l’Ukraine et l’Occident depuis le début de l’invasion. Ce collectif se limitait jusque-là à quelques attaques discrètes. Pour les experts, Solntsepek n’est pas une simple bande d’ultranationalistes russes, mais un nom façade pour l’un des plus importants groupe de hackers du renseignement russe, Sandworm. Parmi les coups d’éclat les plus célèbres de cette unité, on trouve le malware NotPetya, qui a paralysé des institutions ukrainiennes, mais également des entreprises à travers le monde entier, avec près de 9 milliards d’euros de dégâts au total.

John Hultquist, responsable des recherches sur les menaces chez Mandiant, déclare au magazine américain Wired que « Solntsepek a revendiqué à plusieurs reprises des actes perpétrés par Sandworm ». Ce groupe de hackers sous la tutelle de l’armée russe utilise régulièrement différentes couvertures, laissant croire qu’il s’agirait de criminels ou d’hacktivistes derrière leur opération. Sandworm a même tenté de faire porter le chapeau à la Corée du Nord pour son attaque contre les Jeux olympiques d’hiver de 2018 en Corée du Sud.

Robert Lipovsky, chercheur sur la menace cyber chez ESET, avait d’ailleurs déclaré à Numerama que Sandworm a tendance à « se vanter de ses opérations sur des chaînes Telegram. On note aussi qu’ils exagèrent souvent la réussite de leur attaque. »

Le mode opératoire de l’attaque contre Kyivstar n’a pas encore été dévoilé. Mais, il s’agit déjà de la cyberattaque contre l’Ukraine la plus paralysante depuis le début de l’invasion à grande échelle de la Russie en février 2022. Le pays avait jusque-là résisté face aux vagues d’attaques, souvent dirigées contre le secteur énergétique. Une panne internet massive peut avoir de nombreuses conséquences, notamment en cas d’alerte missile contre les civils. Cette offensive contre des acteurs des entités privés présage un nouvel hiver tumultueux autant sur le plan militaire que cyber.