Quiz du Module 2

Réponse : Stuxnet (2010), première cyberarme industrielle connue. Propagation par clé USB, quatre vulnérabilités 0-day enchaînées, pilotes signés avec des certificats volés à des fabricants légitimes, et dissimulation totale côté supervision. Démonstration principale : l'isolement physique ne protège pas, il détermine seulement le chemin qu'empruntera l'attaque.

Réponse : ~ 10 Md$ — la cyberattaque la plus coûteuse de l'histoire. Attribuée au groupe russe Sandworm (GRU). Propagation via supply chain (M.E.Doc en Ukraine) + EternalBlue + Mimikatz. C'est un wiper déguisé, pas un vrai ransomware.

Réponse : Première attaque OT visant les SIS — première fois qu'un malware essaye explicitement de provoquer un accident pouvant tuer. Découvert par chance après un shutdown intempestif causé par une erreur dans le code malveillant.

Réponse : C'est une conséquence directe de l'isolement : plus un système est coupé du réseau, plus tout doit y entrer par un support physique. Mesures : station de décontamination en entrée de site, liste blanche matérielle, supports d'entreprise uniquement, support en lecture seule pour les transferts vers les automates. Méfiez-vous des pourcentages issus de rapports d'éditeurs : ils mesurent le parc client de l'éditeur, pas l'industrie.

Réponse : Quelques dizaines d'heures. Les attaquants industrialisent leurs procédés et exploitent très vite les accès achetés à des courtiers spécialisés. Conséquence : la détection précoce devient vitale. Attention au chiffre périmé des « 200 jours de présence non détectée » : la médiane mondiale mesurée par Mandiant est aujourd'hui de l'ordre de deux semaines.