FrostyGoop. Un regard plus posé sur l'incident de Lviv.

En cartographiant la chaîne telle que Dragos l'a rapportée : accès initial via un équipement joignable depuis Internet (T0822 External Remote Services, T0883 Internet Accessible Device) ; commandes Modbus non autorisées sur le port 502 pour modifier le procédé (T0855 Unauthorized Command Message, T0836 Modify Parameter) ; une rétrogradation de firmware qui a supprimé la supervision (T0857 System Firmware) ; et la perte de visibilité qui en découle pour les opérateurs (T0815 Denial of View, T0829 Loss of View). SCADASEC conteste le rôle de contrôle des équipements ENCO : considérez donc cette chaîne comme une lecture de rapports publics, pas comme un fait établi.

FrostyGoop est un malware rare qui, d'après les rapports publics, vise les systèmes de contrôle industriel. Selon Dragos, c'est la neuvième famille de malware connue spécifique aux ICS, aux côtés de Stuxnet, Havex, Industroyer, Triton et d'autres. Il communique en Modbus TCP, est écrit en Golang et compilé pour Windows, ce qui correspond aux environnements où ces protocoles et ces plateformes sont courants.

En janvier 2024, Dragos a rapporté qu'un malware lié à la Russie avait servi à couper le chauffage de plus de 600 immeubles d'habitation à Lviv, en Ukraine, pendant environ deux jours, par des températures négatives. SCADASEC, citant des sources officielles ukrainiennes, a donné une estimation bien plus basse de l'impact : 324 unités de chauffage individuelles touchées, avec une alimentation rétablie à 50 % en six heures et à 100 % en treize, et non les 48 heures annoncées. Le maire de Lviv a parlé d'un dysfonctionnement, avec un soupçon d'intervention extérieure faisant l'objet d'une enquête.

Ils divergent sur l'attribution, la sophistication et l'impact. Dragos présente FrostyGoop comme une attaque ICS sophistiquée, liée à un État. SCADASEC met en doute le rôle des équipements ENCO (le seul lien est une adresse IP codée en dur pointant vers un équipement en Roumanie, pas à Lviv, et Shodan n'y montrait aucun équipement ENCO exposé), l'affirmation d'un contrôle par Modbus, ainsi que l'ampleur et la durée de la perturbation. Les deux récits reposent sur des éléments différents et lisent le même incident de manière très différente.

Notre analyse indépendante est que FrostyGoop ne présente pas les caractéristiques avancées que l'on observe d'ordinaire dans les malwares ICS d'origine étatique, et qu'il n'a peut-être pas été impliqué dans l'attaque présumée telle qu'elle a été décrite. Il peut avoir une certaine capacité de perturbation, mais il n'atteint pas la sophistication de malwares comme Triton ou Industroyer : son niveau de menace global doit donc être réévalué plutôt que pris pour argent comptant. C'est un appel à la rigueur sur les preuves, pas une minimisation du risque.

Quelle que soit la vraie sophistication de FrostyGoop, l'incident de Lviv met en évidence les mêmes points faibles : des équipements joignables depuis l'extérieur, des réseaux plats et des protocoles de contrôle comme Modbus, sans authentification. La réponse durable est architecturale. Segmentez le réseau, imposez une identité sur chaque chemin vers un contrôleur et journalisez chaque accès, pour qu'aucune commande ne puisse être émise ni aucun équipement atteint sans qu'une politique l'autorise explicitement.