Comment 30 lignes de code ont fait exploser un générateur de 27 tonnes

Last updated Déc 4, 2022

Une expérience secrète en 2007 a prouvé que les pirates pouvaient détruire le réseau électrique de manière irréparable – avec juste un fichier pas plus grand qu’un GIF ordinaire.

Plus tôt cette semaine, le ministère américain de la Justice a publié un acte d’accusation contre un groupe de pirates connu sous le nom de Sandworm. Dans le document, six pirates qui auraient travaillé pour l’agence de renseignement militaire russe GRU ont été accusés de crimes informatiques liés à des cyberattaques dans le monde entier, allant du sabotage des Jeux olympiques d’hiver de 2018 en Corée à la diffusion du malware le plus destructeur de l’histoire ukrainienne.

L’attaque contre le réseau électrique ukrainien en 2016 semble avoir été conçue non seulement pour couper l’électricité, mais aussi pour causer des dommages physiques aux équipements électriques. Et lorsqu’un chercheur en cybersécurité nommé Mike Assante a fouillé dans les détails de cette attaque, il s’est rendu compte que le piratage n’avait pas été inventé par des pirates russes, mais par le gouvernement américain, et avait déjà été testé une décennie plus tôt.

WIRED a publié un article avec un extrait du livre SANDWORM: A New Era of Cyberwarfare and the Hunt for the Kremlin’s Most Dangerous Hackers, publié la semaine dernière. Nous l’avons traduit et vous invitons à lire une histoire fascinante sur l’une des premières expériences réussies de piratage de réseau. Aujourd’hui, il sert toujours d’avertissement puissant des effets potentiels des cyberattaques sur le monde physique et de sombre prémonition des prochaines attaques de Sandworm. ‌

Par une matinée froide et venteuse de mars 2007, Mike Assante est arrivé au laboratoire national de l’Idaho à 32 miles à l’ouest d’Idaho Falls, un bâtiment au milieu d’un immense paysage désertique couvert de neige et d’armoise. Il entra dans le hall à l’intérieur du centre d’accueil où une petite foule se rassemblait. L’équipe comprenait des représentants du Département de la sécurité intérieure, du Département de l’énergie et de la North American Electric Reliability Corporation (NERC), des cadres de plusieurs services publics d’électricité du pays et d’autres chercheurs et ingénieurs qui, comme Assante, étaient chargés de la National Laboratory pour mener leurs journées dans l’imagination de menaces catastrophiques pour l’infrastructure critique de l’Amérique.

À l’avant de la salle se trouvaient un ensemble de moniteurs vidéo et de liaisons de données installés pour faire face aux sièges du stade dans la salle, comme le centre de contrôle de vol d’un lancement de fusée. Les écrans montraient l’alimentation en direct sous plusieurs angles de l’énorme générateur diesel. La voiture avait la taille d’un autobus scolaire, vert menthe, une gigantesque masse d’acier pesant 27 tonnes, à peu près la même qu’un char M3 Bradley. C’était à un mile de l’auditorium, dans une sous-station électrique, produisant assez d’électricité pour alimenter un hôpital ou un navire de guerre, et faisant un rugissement régulier. Des vagues de chaleur émanant de sa surface ont secoué l’horizon à l’image du flux vidéo.

Assante et ses collègues chercheurs de l’ INL ont acheté un générateur de 300 000 $ dans un champ pétrolifère en Alaska. Ils l’ont envoyé sur des milliers de kilomètres vers l’Idaho Proving Ground, un terrain de 890 milles carrés où le laboratoire national a maintenu un réseau électrique important à des fins de test, avec 100 kilomètres de lignes de transmission et sept sous-stations électriques.

Maintenant qu’Assante avait bien fait son travail, ils allaient la détruire. Et les chercheurs réunis prévoyaient de détruire ce mécanisme très coûteux et durable, non pas avec un outil ou une arme physique, mais avec environ 140 kilo-octets de données, un fichier plus petit que le GIF de chat moyen publié sur Twitter aujourd’hui.‌

‌Il y a trois ans, Assante était le chef de la sécurité pour American Electric Power ., une entreprise de services publics comptant des millions de clients dans 11 États, du Texas au Kentucky. Ancien officier de la Marine devenu ingénieur en cybersécurité, Assante était bien conscient de la possibilité d’attaques de pirates sur le réseau électrique. Mais il a été consterné de voir que la plupart de ses collègues de l’industrie électrique avaient une vision relativement simpliste de cette menace encore théorique et lointaine. Si des pirates pénétraient d’une manière ou d’une autre dans le réseau du service public et commençaient à ouvrir des disjoncteurs, l’industrie pensait à l’époque que le personnel pouvait simplement expulser les intrus du réseau et remettre le courant. «Nous pourrions le gérer comme une tempête », se souvient Assante des mots de ses collègues. "Comme c’était censé être, ce serait comme un arrêt et nous nous remettrions de l’échec, et c’était la limite de la réflexion sur le modèle de risque."

Mais Assante, qui avait un niveau rare de connaissance de la diaphonie entre l’architecture des réseaux électriques et la sécurité informatique, a eu une idée plus délicate. Et si les attaquants ne se contentaient pas de prendre le contrôle des systèmes de contrôle des opérateurs de réseau pour basculer les commutateurs et provoquer des pannes de courant momentanées, mais reprogrammaient à la place des éléments de réseau automatisés, des composants qui prenaient leurs propres décisions concernant le fonctionnement du réseau sans vérifier avec qui que ce soit ?‌

‌

Plus précisément, Assante pensait à un appareil appelé relais de protection. Les relais de protection sont conçus pour fonctionner comme un mécanisme de protection contre les conditions physiques dangereuses dans les systèmes électriques. Si les lignes surchauffent ou si le générateur se désynchronise, ce sont ces relais de protection qui détectent l’anomalie et ouvrent le disjoncteur, fermant la localisation du défaut, économisant du matériel précieux et même prévenant les incendies. Le relais de protection agit comme une sorte de bouée de sauvetage pour le réseau.

Mais que se passerait-il si ce relais de protection pouvait être paralysé ou, pire, endommagé de sorte qu’il deviendrait une voie de descente pour la charge utile d’un attaquant ?

Cette question troublante a été posée à Assante au Laboratoire national de l’Idaho alors qu’il travaillait dans l’industrie de l’énergie électrique. Maintenant, dans le centre des visiteurs du site de test du laboratoire, lui et ses collègues ingénieurs étaient sur le point de mettre leur idée la plus diabolique en action. L’expérience secrète a reçu un nom de code qui deviendrait synonyme de possibilité d’attaques numériques avec des conséquences physiques: Aurora .‌

Le directeur du test a lu l’heure: 11h33. Il a vérifié auprès de l’ingénieur de sécurité qu’il n’y avait pas d’étrangers autour du générateur diesel du laboratoire. Il a ensuite donné le feu vert à l’un des chercheurs en cybersécurité du bureau du National Laboratory à Idaho Falls pour lancer l’attaque. Comme tout véritable sabotage numérique, celui-ci sera effectué à des kilomètres et des kilomètres, via Internet. En réponse, le pirate simulé a envoyé environ trente lignes de code de sa voiture à un relais de sécurité connecté à un générateur diesel de la taille d’un bus.

L’intérieur de ce générateur, jusqu’au moment où il a été saboté, effectuait une sorte de danse invisible, parfaitement harmonisée avec le réseau électrique auquel il était connecté. Le carburant diesel dans ses chambres a été pulvérisé et a explosé avec un timing inhumain pour déplacer des pistons qui faisaient tourner une tige d’acier à l’intérieur d’un moteur de générateur – l’ensemble complet était connu sous le nom de "moteur principal" – environ 600 fois par minute. Cette rotation se faisait à travers une bague en caoutchouc conçue pour amortir toute vibration, puis dans les composants générateurs d’électricité: une tige à levier enroulée avec du fil de cuivre, enfermée entre deux aimants massifs, de sorte que chaque rotation induisait un courant électrique dans les fils. Faites tourner cette masse de cuivre enroulé assez vite,

Le relais de sécurité attaché à ce groupe électrogène a été conçu pour éviter qu’il ne soit connecté au reste du réseau électrique sans être préalablement synchronisé sur le rythme exact: 60 hertz. Mais le pirate informatique Assante à Idaho Falls vient de reprogrammer ce dispositif de sécurité, renversant sa logique.

A 11h33 et 23 secondes, le relais de protection détecte que le générateur est parfaitement synchronisé. Mais ensuite, son cerveau tordu a fait le contraire de ce pour quoi il était conçu: il a ouvert un disjoncteur pour éteindre la machine.

Lorsque le générateur a été déconnecté du plus grand réseau électrique du Laboratoire national de l’Idaho et libéré du fardeau de diviser ce vaste système, il a instantanément commencé à accélérer, tournant plus vite. Dès que le relais de sécurité a détecté que la rotation du générateur avait augmenté jusqu’à un désynchronisme complet avec le reste du réseau, sa logique, volontairement inversée par le pirate, l’a immédiatement connecté au mécanisme du réseau.

Au moment où le générateur diesel a été reconnecté au système plus vaste, il a été frappé par la force fatale de tout autre générateur en rotation sur le réseau. Tout cet équipement a ramené la masse relativement petite des composants rotatifs du générateur diesel à leur vitesse d’origine, plus lente, pour correspondre aux fréquences de ses voisins.

Sur les écrans, le public rassemblé a regardé la gigantesque machine trembler avec une force soudaine et terrible, faisant un bruit comme des coups de fouet. L’ensemble du processus, depuis le lancement du code malveillant jusqu’au premier tremblement, n’a pris qu’une fraction de seconde.

Des morceaux noirs ont commencé à sortir du panneau d’accès du générateur, que les chercheurs avaient laissé ouvert pour en observer l’intérieur. À l’intérieur, la bague en caoutchouc noir reliant les deux moitiés de l’arbre du générateur a été déchirée.

Quelques secondes plus tard, la machine a de nouveau tremblé lorsque le code du relais de sécurité a répété son cycle de sabotage, éteignant et rallumant la machine de manière désynchronisée. Cette fois, un nuage de fumée grise a commencé à s’échapper du générateur, peut-être à cause des morceaux de caoutchouc qui brûlaient à l’intérieur.

Assante, malgré des mois d’efforts et des millions de dollars de fonds fédéraux qu’il a dépensés pour développer l’attaque dont ils ont été témoins, a en quelque sorte ressenti une certaine sympathie pour la machine alors qu’elle était déchirée de l’intérieur. "Vous commencez à vous enraciner comme un petit moteur", se souvient Assante. "Je me suis dit: ‘Tu peux le faire !’"

La voiture n’a pas survécu. Après le troisième coup, elle a libéré un plus gros nuage de fumée grise. Après le quatrième impact, un jet de fumée noire s’est élevé à 10 mètres au-dessus de la voiture dans les airs.

Le directeur de test a mis fin à l’expérience et a déconnecté le générateur détruit du secteur pour la dernière fois, le laissant mortellement immobile. Lors d’une analyse médico-légale ultérieure, les chercheurs du laboratoire ont découvert que l’arbre du moteur était entré en collision avec la paroi interne du moteur, laissant des entailles profondes des deux côtés et remplissant l’intérieur de la machine de copeaux de métal. De l’autre côté du générateur, son câblage et son isolation ont fondu et brûlé. La voiture a été détruite.

Le silence a régné dans le centre d’accueil après la manifestation. "C’était un moment sobre", se souvient Assante. Des ingénieurs viennent de prouver sans l’ombre d’un doute que les pirates qui attaquent un réseau électrique peuvent aller au-delà de l’interruption temporaire du travail de la victime: ils peuvent endommager ses équipements les plus critiques de façon irréparable. "Imaginez ce qui arriverait à une machine dans une vraie usine, ce serait terrible", déclare Assante. "Avec seulement quelques lignes de code, vous pouvez créer des conditions qui peuvent physiquement causer de graves dommages aux machines sur lesquelles nous comptons."

Mais Assante se souvient aussi avoir ressenti quelque chose de plus grave dans les instants qui ont suivi l’expérience Aurora. Il y avait un sentiment que, comme Robert Oppenheimer regardant le premier essai de bombe atomique dans un autre laboratoire national américain six décennies plus tôt, il assistait à la naissance de quelque chose d’historique et d’extrêmement puissant.

Selon Filaire.