(1) En tant que cyberarme (à la fois défensive et offensive). Voici quelques exemples de logiciels malveillants offensifs : TrickBot, LatentBot, AgentTesla, Gandcrab, Stuxnet, DownPaper, Carbanak, Zeus, Duqu, Ramnit, Wiper, Flame, Babar, Ryuk, Qakbot, ISFB, TurnedUp, Dridex, Goedel, Mosquito, Jaff, Chernobyl, Emotet/Geodo, Pupy, BlackEnergy, Shamoon, DanaBot, etc.

(2) En tant qu’outil sophistiqué pour les cyberattaques (à la fois pour la protection et pour la réalisation d’activités malveillantes).

(3) En tant que cybermenace (qu'il s'agisse de logiciels malveillants offensifs ou défensifs, pouvant endommager le monde entier dans le cas des logiciels malveillants offensifs). Actuellement, dans la cyberguerre (de moins en moins connue), les cyberarmes offensives sont utilisées, et le recours à des cyberarmes de protection (telles que les logiciels malveillants défensifs) est urgent et crucial. Leurs implications se font sentir à tous les niveaux, dans tous les types d'interactions et sur tous les fronts : terrestre (véhicules, robots, chars, communications par fibre optique, etc.), maritime (sous-marins, navires, câbles sous-marins, etc.), aérien (antennes de télécommunications et internet terrestre et par satellite, avions commerciaux, drones hypersoniques, missiles hypersoniques antisatellites, hélicoptères, etc.), spatial (satellites, stations orbitales, sondes spatiales, défense anti-astéroïdes, etc.) et cyberespace (intégré aux quatre fronts précédents : Internet de tout/IdT, IdO, applications, systèmes d'exploitation, cloud, univers virtuels/métavers, cryptomonnaies, sites web, hyperviseurs, systèmes d'exploitation, conteneurs, etc.). Les logiciels malveillants défensifs sont autonomes et autorégulés. Ils reposent sur l'IA, la technologie ZT, la technologie ZK, l'IAD, la TH, des bases de connaissances dynamiques, le chiffrement, les canaux subliminaux, la stéganographie, le renseignement sur les vulnérabilités, etc., et fonctionnent avec un haut niveau de maturité. Les objectifs tactiques, ou tactiques, des logiciels malveillants offensifs correspondent aux raisons qui motivent leurs actions. La tactique dite « accès aux identifiants » utilise des techniques et sous-techniques (descriptions plus ou moins détaillées de la mise en œuvre de la tactique). Dans ce cas précis, il s'agirait d'extraire des identifiants en accédant aux services de l'autorité de sécurité locale (LSA). Les procédures (implémentations concrètes des techniques et sous-techniques) impliqueraient l'utilisation de PowerShell pour s'injecter dans « lsass.exe » et extraire les identifiants.
 
MODES DE FONCTIONNEMENT DES LOGICIELS MALVEILLANTS OFFENSIFS ET LEUR NEUTRALISATION PAR DES LOGICIELS MALVEILLANTS DÉFENSIFS.
                  Les logiciels malveillants intelligents avancés (offensifs et défensifs) peuvent mener leurs opérations, activités, actions, comportements, etc., de différentes manières : (1) Mode passif. Dans ce cas, le logiciel malveillant offensif analyse le trafic, surveille les communications non protégées (fibre optique, cuivre, sans fil, OTA, etc.), déchiffre le trafic faiblement chiffré/authentifié et capture les informations d'authentification (mots de passe, secrets, etc.). L'interception passive des opérations réseau peut fournir aux logiciels malveillants offensifs des indicateurs et des avertissements leur permettant de prévenir des actions malveillantes ou, dans le cas des logiciels malveillants défensifs, de procéder à des actions de neutralisation. Le mode passif peut entraîner la divulgation d'informations ou de fichiers de données (tels que des informations personnelles, des jetons, des fichiers sensibles, des clés privées, etc.) à des logiciels malveillants offensifs à l'insu et sans le consentement de l'utilisateur légitime. Dans ce cas, les logiciels malveillants défensifs neutraliseront/bloqueront toute tentative de comportement, d'opération ou d'action malveillante. (2) Mode de distribution. Dans ce cas, le logiciel malveillant offensif modifie le matériel, le micrologiciel ou le logiciel lors de la fabrication ou de la distribution du produit (cyberattaque de la chaîne d'approvisionnement).

Lors de ces cyberattaques, des logiciels malveillants offensifs sont introduits dans les produits sous forme de portes dérobées, de chevaux de Troie, de micrologiciels et de matériels, de code d'obsolescence programmée, etc., afin d'obtenir ultérieurement un accès non autorisé aux informations ou aux fonctions du système, de l'appareil, du réseau, etc. Dans ce cas, les logiciels malveillants défensifs analysent le système à la recherche de comportements et d'actions malveillants, et les neutralisent, les bloquent ou les désactivent en amont. (3) Mode actif. Dans ce cas, les logiciels malveillants offensifs tentent de contourner les dispositifs de protection pour voler ou détourner des données, modifier des informations, etc. Ils attaquent le réseau principal, exploitent les informations en transit, chiffrent des dossiers, pénètrent les infrastructures (réseaux, systèmes, appareils, objets IoT, etc.) et attaquent les utilisateurs distants autorisés lorsqu'ils tentent de se connecter à une infrastructure. Dans ce scénario, les logiciels malveillants défensifs bloquent, neutralisent et empêchent toute tentative malveillante de révéler, diffuser ou détourner des fichiers de données ; de perturber le service (réseaux, systèmes, appareils, applications, etc.) ; de modifier des données ; ou de saboter le système. (4) Menace interne. Celle-ci peut être de deux types : (a) Malveillante (logiciels malveillants offensifs). (b) Motivée par la négligence, l’imprudence, l’ignorance, l’oubli, la maladresse, la paresse, les erreurs involontaires, etc., de la part d’individus ou d’entités (qui deviennent des facilitateurs de logiciels malveillants offensifs). Les logiciels malveillants peuvent inclure des tentatives d'écoute clandestine, de vol d'informations, de détournement de données, de corruption de données, d'utilisation frauduleuse d'informations, de déni d'accès à d'autres utilisateurs autorisés, de sabotage, etc. Ces actes sont souvent motivés par l'ignorance, la négligence, l'oubli, etc. Les raisons pour lesquelles des individus ou des entités peuvent contourner les mesures de cybersécurité sont dues à l'accident, la paresse, la maladresse, le désir de terminer rapidement, la négligence, ou encore le souci de finir rapidement une tâche. Dans ces scénarios, les logiciels de protection bloquent et neutralisent tous les types de tentatives d'attaque, les vulnérabilités, les exploits (tels qu'Eternal Blue), etc., ainsi que les problèmes liés aux logiciels malveillants offensifs qui peuvent avoir été créés par la négligence d'individus ou d'entités, en raison de l'ignorance, de la négligence, de la paresse, de l'oubli, de la maladresse, etc. (5) Mode basé sur la proximité. Dans ce cas, le logiciel malveillant offensif se trouvera physiquement à proximité des cibles à attaquer (réseaux, systèmes, appareils, services, équipements, etc.) afin de les modifier, les capturer, en bloquer l'accès, les saboter, etc. Il s'agit par exemple de l'insertion d'une clé USB infectée dans un PC, un PC industriel, un automate programmable, etc., pour saboter un processus industriel, comme une centrifugeuse, ou un véhicule connecté/autonome, et provoquer un accident ou une fuite de données. Cette proximité peut être obtenue par la malhonnêteté ou la négligence d'un employé, une intrusion forcée, une faille de sécurité, l'exploitation d'un point d'accès vulnérable, etc. Dans ce scénario, le logiciel de défense bloquera et neutralisera toutes les tentatives malveillantes du logiciel malveillant offensif.
 
Neutralisation des structures tactiques utilisées par les logiciels malveillants offensifs.
Les logiciels malveillants défensifs avancés sont conçus pour bloquer, neutraliser, désactiver, atténuer, etc., toutes les combinaisons possibles de tactiques (et leurs composantes internes : techniques, sous-techniques, procédures, fonctions, mécanismes, etc.) utilisées par les logiciels malveillants offensifs. Une forte corrélation est observée entre toutes les structures et bases de connaissances des tactiques connues et synthétisées par l’IA.

Certains ensembles de bases de connaissances tactiques sont (A) EBCT1 (CVCM, LotL, etc.) constitués des tactiques suivantes :

(1) Reconnaissance initiale. Les logiciels malveillants offensifs utilisent des techniques et des procédures de recherche sur les cibles à attaquer (applications, appareils, systèmes, réseaux, infrastructures, objets, organisations, etc.). À ce stade, les logiciels malveillants défensifs paralysent et bloquent tout type de recherche malveillante.

(2) Compromission initiale. Un logiciel malveillant offensif exécute du code malveillant (micrologiciel, logiciel) sur une ou plusieurs cibles en utilisant la rétro-ingénierie, l'ingénierie sociale, etc. Un logiciel malveillant défensif empêchera de telles actions malveillantes.

(3) Mise en place d'une restauration. Les logiciels malveillants offensifs s'assurent du maintien de leur position et conservent un contrôle continu sur les cibles compromises (appareils, systèmes, objets, etc.). Les logiciels malveillants défensifs bloquent toute opération de maintenance et de contrôle sur les cibles.

(4) Élévation de privilèges. Les logiciels malveillants offensifs obtiennent des privilèges/autorisations plus élevés par diverses procédures, comme le vol de hachages de mots de passe. Les logiciels malveillants défensifs neutralisent toute technique ou procédure malveillante.

(5) Reconnaissance interne. Les logiciels malveillants offensifs explorent l'environnement de la cible pour mieux le comprendre. Les logiciels malveillants défensifs empêchent cela.

(6) Mouvements latéraux. Les logiciels malveillants offensifs utilisent les informations d'identification obtenues lors de l'élévation des privilèges pour passer d'un point (appareil, système, objet, etc.) à un autre au sein de l'environnement compromis.

(7) Maintien de la position. Les logiciels malveillants offensifs tentent de maintenir leur présence et un accès continu à l'environnement. Pour ce faire, ils utilisent différentes techniques telles que l'installation de portes dérobées, de chevaux de Troie, etc.

(8) Examen des objectifs. La mission peut être terminée ou elle peut se poursuivre avec d'autres objectifs (voler, modifier, saboter, faire chanter, kidnapper, commettre des actes criminels, etc.) à la volée.

Les logiciels malveillants défensifs bloqueront toute action ultérieure. (B) EBCT2 (CKC, UKC, GKC, etc.) comprend les tactiques suivantes :

(1) Reconnaissance. Le logiciel malveillant explore, étudie et analyse ses cibles, identifiant toutes leurs vulnérabilités (non seulement celles connues, mais aussi celles de type 0-day).

(2) Armé. Le logiciel malveillant ajuste sa trajectoire pour accéder aux cibles à cyberattaquer (objets, appareils, systèmes, réseaux, infrastructures, etc.).

(3) Livraison. Le logiciel malveillant effectue les actions nécessaires pour atteindre les cibles, puis les attaquer et les infecter.

(4) Ingénierie sociale. Les logiciels malveillants utilisent des techniques pour manipuler les gens et les amener à effectuer des actions vulnérables.

(5) Installation. Le logiciel malveillant nécessite un accès continu à ses cibles ; il installe donc des éléments d’activation, des portes dérobées, des chemins de secours redondants, etc., afin d’atteindre ses objectifs. (6) Exploration. Le logiciel malveillant s’exécute au sein de l’environnement et obtient les accès nécessaires.

(7) Persistance. Le logiciel malveillant effectue des modifications pour assurer sa présence continue dans le système.

(8) Évasion des défenses. Les logiciels malveillants utilisent des techniques pour échapper à la détection et contourner d'autres défenses.

(9) Commande et contrôle (C&C). Le logiciel malveillant peut communiquer avec les systèmes contrôlés et d'autres collaborateurs. (10) Pivotement. Le logiciel malveillant fait transiter le trafic par des systèmes contrôlés qui ne sont pas directement accessibles.

(11) Découverte. Le logiciel malveillant recueille des informations sur la cible et son environnement. (12) Élévation de privilèges. Le logiciel malveillant obtient des autorisations plus élevées sur la cible. (13) Exécution. Le logiciel malveillant peut exécuter du code (micrologiciel ou logiciel) sur une cible locale ou distante.

 (14) Accès aux identifiants. Les logiciels malveillants accèdent ou contrôlent des cibles telles que les identifiants de domaine.

(15) Mouvement latéral. Logiciel malveillant accédant à d'autres cibles distantes et les contrôlant.

(16) Collecte. Le logiciel malveillant identifie et capture les données de la cible distante avant l'exfiltration.

(17) Exfiltration. Les logiciels malveillants extraient des informations (critiques, personnelles, secrètes, clés privées, etc.), modifient des données, sabotent des éléments, font du chantage, kidnappent, nuisent aux humains, à l'environnement, aux animaux, etc. des cibles à cyberattaquer.

(18) Impact. Le logiciel malveillant manipule, perturbe ou détruit la cible.

(19) Objectifs. Les logiciels malveillants intègrent des objectifs plus petits pour atteindre un objectif global.

(C) EBCT3 (BCs-APT/APR, ET-ICS-MT-IT-OT-ATT&CK, etc.) intègre les tactiques suivantes :

(1) Reconnaissance. Intègre les techniques qui permettent aux logiciels malveillants de collecter des informations qu'ils peuvent utiliser pour des opérations futures.

(2) Développement des ressources. Cela englobe les techniques qui permettent aux logiciels malveillants d'établir des ressources pouvant être utilisées pour soutenir leurs opérations.

(3) Accès initial. Cela englobe l'ensemble des techniques et vecteurs d'infection utilisés par les logiciels malveillants pour entrer et obtenir une position initiale au sein du réseau, du système, du périphérique, etc.

(4) Exécution. Intègre les techniques qui permettent l'exécution de code malveillant sur un système, un appareil, un réseau local ou distant.

(5) Persistance. Ce terme englobe les techniques utilisées par les logiciels malveillants pour maintenir leur présence. Autrement dit, pour permettre tout accès, action ou modification de configuration sur un système, un périphérique ou un réseau, le logiciel malveillant s'assure ainsi une présence persistante sur ce système, périphérique ou réseau. Les identifiants volés sont souvent utilisés pour créer un nouveau compte. (6) Élévation de privilèges. Ce terme inclut les techniques qui génèrent des actions permettant aux logiciels malveillants d'obtenir des niveaux d'autorisation et de permissions plus élevés sur un système, un périphérique ou un réseau. Ils peuvent utiliser un compte valide pour modifier les permissions d'accès.

(7) Contournement des défenses. Intègre les techniques utilisées par les logiciels malveillants pour échapper à la détection ou contourner d'autres défenses. Il peut créer une nouvelle instance de machine virtuelle pour contourner les règles du pare-feu.

(8) Accès aux informations d'identification. Cela inclut les techniques qui permettent aux logiciels malveillants de voler les noms de compte, les mots de passe, les jetons, les clés privées ou d'autres secrets qui leur donnent accès aux ressources.

(9) Découverte. Cette étape intègre les techniques permettant au logiciel malveillant de comprendre son environnement et d'acquérir des connaissances sur le système, le périphérique et le réseau interne. Par exemple, il peut localiser une base de données cible.

(10) Mouvement latéral. Il s'agit de techniques permettant aux logiciels malveillants de se déplacer dans leur environnement, d'accéder et de contrôler des systèmes distants sur le réseau et dans le cloud (edge, fog, cloud avec conteneurs ou hyperviseurs).

(11) Collecte. Cela englobe les techniques utilisées pour collecter et identifier les données et informations d'intérêt (telles que les fichiers sensibles d'un système, d'un appareil ou d'un réseau cible avant l'exfiltration) pour leurs objectifs.

(12) Exfiltration. Intègre les techniques qui permettent aux logiciels malveillants de voler, d'extraire des fichiers, des données, des métadonnées et des informations d'un système, d'un appareil ou d'un réseau cible.

(13) Commande et contrôle (C&C). Ce terme englobe les techniques utilisées par les logiciels malveillants pour communiquer avec les appareils et systèmes compromis afin de les contrôler au sein d'un réseau, d'un appareil ou d'un système cible, ou avec ses systèmes de support. (14) Impact. Ce terme englobe les techniques dont l'objectif principal est de porter atteinte à la disponibilité, l'intégrité, l'authentification, la confidentialité, la non-répudiation, etc., des systèmes. Dans ce cas, le logiciel malveillant tente de manipuler, de perturber ou de détruire les appareils, les systèmes et les données. Les logiciels malveillants défensifs neutralisent toutes ces tentatives.

(14) Effets de réseau. Intègre des techniques d'interception ou de manipulation du trafic réseau vers ou depuis une cible (appareil, système, etc.)

(14) Effets des services à distance. Cela englobe les techniques de contrôle ou de surveillance d'une cible à l'aide de services à distance. Des associations et corrélations très fines, basées sur l'IA et issues de clusters tactiques (et de leurs composants internes : techniques, procédures, etc.), permettent de prédire et de déduire les comportements et actions des logiciels malveillants offensifs qui seront neutralisés ou bloqués par des logiciels malveillants défensifs.
 
PROBLÈME DES LOGICIELS MALVEILLANTS OFFENSIFS DANS LES VÉHICULES CONNECTÉS ET AUTONOMES.
Actuellement, les logiciels malveillants affectent tous les types de systèmes, réseaux, métavers ou univers virtuels (y compris celui de Facebook, avec ses avatars, et les casques de réalité virtuelle sans connexion à un ordinateur qui suivent les mouvements des doigts pour l'interaction ; Second Life en était un prédécesseur, bien moins sophistiqué), appareils (PC, automates programmables, smartphones comme l'iPhone 13, tablettes, etc.), applications, jeux (de tous types, par exemple, le jeu du calmar, Axie Infinity, etc.), systèmes d'exploitation (iOS 15, Linux, Android 12, Windows 10, etc.), navigateurs web (Chrome, Safari, Firefox, etc.), données, métadonnées, écosystèmes, infrastructures et environnements (personne n'est à l'abri) : systèmes informatiques, systèmes opérationnels, systèmes de contrôle industriel, systèmes cyberphysiques, Internet des objets, systèmes informatiques industriels, Internet des technologies de la santé et de la mobilité, intelligence artificielle, Internet des objets électroniques, bases de données, CRM, ERP, clouds (cloud computing, fog computing, edge computing), etc. Les véhicules connectés (directement ou indirectement) et autonomes (qui sont essentiellement des systèmes cyberphysiques) représentent d'innombrables points d'entrée pour les logiciels malveillants. Même avec des certifications telles que ISO/SAE 21434 et/ou UNECE/R155 (aucune certification ne peut garantir l'absence de vulnérabilités potentielles au niveau des données, des logiciels, des micrologiciels, du matériel, des communications, etc.), la gestion et les mises à jour à distance (OTA) des calculateurs (ECU) peuvent engendrer des vulnérabilités, des infections, des pannes, des erreurs et d'autres problèmes. Les calculateurs contrôlent la plupart des fonctionnalités d'un véhicule. Si un logiciel malveillant prend le contrôle, il peut bloquer la direction, démarrer/arrêter le moteur, manipuler la pression des pneus, modifier le chauffage et la climatisation, verrouiller le véhicule à distance, contrôler le système de navigation, désactiver les freins, affecter le système multimédia, manipuler les diagnostics du véhicule (en modifiant les enregistrements), provoquer des accélérations ou des freinages brusques, divulguer des données du conducteur (adresse, lieu de travail, style de conduite, informations bancaires, mots de passe et identifiants) et contrôler à distance les serrures de porte, les alarmes et autres signaux sonores et visuels. Aucun appareil ne doit être connecté au port OBD2, car celui-ci permet la programmation, le codage et le diagnostic de tout dispositif électronique du véhicule. Des logiciels malveillants latents (logiciels, micrologiciels et matériels présents dans la chaîne d'approvisionnement) peuvent manipuler le groupe motopropulseur et le protocole de communication entre les composants (bus CAN) en exploitant des vulnérabilités et des failles, latentes ou existantes. Ils peuvent interrompre brutalement la communication entre deux processeurs/puces (ce qui génère des messages incohérents et peut entraîner des défaillances système graves, comme l'incapacité à identifier la vitesse des véhicules à proximité ou un freinage intempestif, même à grande vitesse, sans avertissement, augmentant ainsi le risque de collisions par l'arrière). Les vulnérabilités sont dynamiques et peuvent apparaître à tout moment. Les réseaux Wi-Fi (WLAN), 5G (WWAN), LoRaWAN, etc., permettent aux logiciels malveillants d'agir sur les photos, vidéos et fichiers stockés sur votre smartphone, tablette, ordinateur, etc. (souvent connectés à votre véhicule). Par exemple, un logiciel malveillant peut vous surveiller, vous espionner, vous extorquer, vous faire chanter, usurper votre identité, provoquer des accidents en contrôlant votre véhicule, etc. Il peut prendre le contrôle de tous les dispositifs de sécurité du véhicule, tels que les airbags, les freins, le système Start/Stop du moteur, les niveaux de liquides, l'état des pneus, la direction, le chauffage, la connectivité mains libres du téléphone portable, le GPS (en fournissant de fausses données), les vitres électriques, la climatisation et les signaux sonores et visuels. Un logiciel malveillant peut également modifier le comportement des systèmes avancés d'aide à la conduite (ADAS), par exemple en créant l'illusion d'un obstacle inexistant (« effet fantôme ») ou en simulant l'absence d'un obstacle présent.

Le Bluetooth (WPAN) permet aux logiciels malveillants d'exécuter des actions malveillantes en utilisant des informations relatives à vos conversations, contacts, messages, données confidentielles, etc., telles que l'usurpation d'identité, le harcèlement, le chantage, l'atteinte à la réputation et la manipulation des fonctions du véhicule. La géolocalisation (via des satellites comme le GPS, BeiDou, GNSS, GLONASS, Galileo, etc., la triangulation par antennes-relais ou des satellites de télécommunications comme Iridium, etc.) permet aux logiciels malveillants de manipuler des informations concernant vos itinéraires, vos horaires, vos adresses (domicile et travail), etc., afin de mener des actions malveillantes telles que l'enlèvement, l'espionnage, le chantage et la tromperie. La clé de contact et le contacteur d'allumage du véhicule peuvent être manipulés par un logiciel malveillant, qui peut vous enfermer à l'intérieur, vous empêcher d'ouvrir le véhicule, le voler en le laissant déverrouillé et moteur tournant, activer/désactiver le contacteur, etc. La connexion croissante des smartphones et des tablettes aux véhicules (ce qui est dangereux) facilite la transmission des logiciels malveillants entre eux. Ces derniers peuvent même contrôler à distance le verrouillage/déverrouillage des portes, le démarrage/l'arrêt du moteur, et même le déclenchement de l'airbag. Le système RDS (Radio Data System) permet aux stations de transmettre des informations complémentaires au signal radio affiché sur l'écran du récepteur. Les logiciels malveillants peuvent semer la désinformation et le chaos. Grâce à la technologie des médias synthétiques, ils peuvent manipuler les données multimédias transmises, générant de fausses alertes de trafic et d'accidents, diffusant des informations erronées, trompant, désinformant et semant la confusion. La fonction d'appel d'urgence (E-Call) des véhicules (basée sur un système embarqué avec carte SIM pour la communication sans fil) s'active manuellement et automatiquement en cas d'urgence. Les logiciels malveillants peuvent commettre des actes malveillants, comme falsifier la position exacte de votre véhicule pour vous kidnapper, vous empêcher de recevoir de l'aide en cas d'accident ou d'urgence médicale, etc. Les logiciels malveillants infiltrés et injectés au niveau des systèmes d'ouverture et de démarrage du véhicule (de type « sans clé ») facilitent le vol de ces véhicules.

L'infection par un logiciel malveillant du calculateur (ECU), responsable de la fiabilité du véhicule, peut s'avérer critique (un logiciel malveillant peut saboter le système, isolant deux des nombreux processeurs du véhicule et provoquant ainsi un dysfonctionnement). L'infection d'un véhicule par un logiciel malveillant est facilitée par le grand nombre de composants électroniques, de logiciels et de micrologiciels, ce qui augmente considérablement la surface d'attaque. L'infection par un logiciel malveillant des clouds (publics, privés, mixtes, etc.) hébergeant les plateformes de communication des véhicules connectés peut avoir des conséquences critiques sur ces véhicules. Une vulnérabilité courante des véhicules connectés permet à un logiciel malveillant de manipuler à distance certains paramètres du système d'exploitation de navigation par satellite, autorisant ainsi l'exécution de code à distance et le contrôle de toutes les fonctions essentielles du véhicule. Les véhicules équipés de systèmes avancés d'aide à la conduite (ADAS) peuvent subir des dysfonctionnements si les flux de données qu'ils traitent sont infectés ou corrompus par un logiciel malveillant. Les algorithmes d'apprentissage automatique intégrés aux systèmes ADAS les rendent vulnérables à de nouvelles formes de cyberattaques. Par exemple, des modifications physiques ou logiques altèrent la façon dont l'électronique du véhicule interprète une situation. Le réseau d'ECU (unités de contrôle électroniques) comporte de nombreux points d'entrée potentiels pour les logiciels malveillants, susceptibles de perturber le fonctionnement du système cyberphysique. La manipulation illégale d'un module lors d'une maintenance, un vol ou un sabotage peut entraîner une attaque par déni de service (DoS), empêchant l'ECU de recevoir des données valides. Le système d'infodivertissement peut être attaqué à distance par un logiciel malveillant. Parmi les autres attaques possibles, on peut citer l'interception, les attaques de l'homme du milieu (MITM) et les attaques par rejeu (utilisant des données précédemment transmises sur le réseau). Les logiciels malveillants peuvent manipuler les systèmes d'aide à la conduite (ADAS), tels que l'assistance au maintien de voie, qui permet au véhicule de conserver sa trajectoire et d'éviter de dévier de sa voie. Si un logiciel malveillant parvient à infiltrer et à infecter le système de contrôle (CAN-BUS) d'un véhicule connecté ou autonome, il pourrait mettre en péril le véhicule, tous les véhicules circulant à proximité et le centre de données du constructeur. Les logiciels malveillants (exploitant les vulnérabilités existantes, notamment celles des véhicules connectés/autonomes) peuvent infecter le véhicule, en prendre le contrôle et manipuler ses fonctions, lui permettant ainsi de contrôler divers systèmes. Cela inclut l'activation des freins, le blocage de la direction (à grande vitesse dans un virage), la perturbation du système multimédia, de la climatisation et du système d'infodivertissement, le démarrage ou l'arrêt du moteur, l'ouverture ou la fermeture des vitres et des portes, le déploiement de l'airbag en conduite normale, l'activation malveillante des phares pour les démarrages en côte lorsque le véhicule est stationné sur une surface plane, l'utilisation malveillante du système d'exploitation et du navigateur du véhicule pour effectuer des achats non autorisés, le verrouillage/déverrouillage à distance des portes et le démarrage/arrêt du moteur, l'activation du freinage/de l'accélération du véhicule à l'aide d'un smartphone ou d'une tablette infectée faisant office de clé numérique, l'ouverture et le démarrage du véhicule avec un dispositif sans clé tel qu'une carte clonée, l'ouverture et le démarrage du véhicule avec une télécommande clonée, et l'ouverture et le démarrage du véhicule avec des données biométriques falsifiées (reconnaissance faciale, empreinte digitale, etc.). Si un logiciel malveillant est introduit dans un véhicule via un CD, un DVD ou une clé USB infectés, ou par d'innombrables autres vecteurs d'infection, tels qu'un smartphone ou une tablette infectés connectés au véhicule (via Bluetooth BLE, Wi-Fi, 5G, 6LoWPAN, LoRaWAN, etc.), ou encore par une infection (logiciel, micrologiciel ou matériel) au sein de la chaîne d'approvisionnement, via des mises à jour OTA (Over-The-Air) infectées, etc., alors le logiciel malveillant peut contaminer un véhicule. Si ce logiciel malveillant intègre des fonctionnalités de type « ver » lui permettant de se répliquer et de se propager sur les réseaux, il pourrait automatiquement passer d'un véhicule à l'autre, voire atteindre le centre de données du constructeur. Les véhicules connectés (qui disposent d'une connexion Internet pour recevoir les mises à jour système) sont particulièrement vulnérables à cette menace.

Ce système est capable de recevoir et de transmettre des informations depuis et vers les bases de données du centre de données du constructeur. Cela permet à ce dernier de collecter des données provenant de ses véhicules, de mettre à jour sans fil le micrologiciel du véhicule et de recevoir ou d'émettre des alertes de service. Le centre de données du constructeur stocke toutes les données relatives au propriétaire et au véhicule, telles que le numéro de téléphone, le nom, l'adresse postale et électronique du propriétaire, ainsi que les données de conduite, notamment les itinéraires empruntés, le style de conduite (fréquence de freinage, distance parcourue, itinéraires empruntés, durée, excès de vitesse, dates d'entretien et tout dysfonctionnement détecté). Des logiciels malveillants peuvent s'infiltrer dans les applications payantes intégrées aux véhicules connectés, entraînant potentiellement des vols d'argent, des atteintes à la vie privée du propriétaire, etc. Tout véhicule peut être la cible de cyberattaques par des logiciels malveillants de diverses natures : contrôle à distance, applications mobiles, attaques logicielles/micrologicielles et attaques physiques/matérielles, exploitant des erreurs humaines, des infections de la chaîne d'approvisionnement, des chevaux de Troie matériels, et bien plus encore. Les logiciels malveillants peuvent cibler les ports matériels (USB, OBD2, etc.) et les interfaces sans fil (Wi-Fi 6/7, IEEE 802.11ax/IEEE 802.11be, 4G, 5G, Bluetooth LTE, ZigBee/IEEE 802.15.4, NFC, Ethernet, LoRaWAN, RFID, etc.). De plus, ils peuvent exploiter l'absence de segmentation des systèmes embarqués pour attaquer les logiciels utilisateurs via ces mêmes systèmes. Les logiciels malveillants peuvent infecter à la fois les données et métadonnées utilisateur générées par les systèmes du véhicule et les données opérationnelles de ce dernier. Ils peuvent affecter le système de freinage, les airbags, l'allumage et d'autres systèmes. Ils peuvent envoyer des commandes malveillantes au réseau CAN-BUS, dont les nombreuses fonctionnalités sont vulnérables. Les logiciels malveillants peuvent également attaquer les protocoles de transmission de données intra-véhicule et inter-véhicules, tels que Bluetooth/BLE, Wi-Fi (CSMA/CA), GPS, Ethernet (CSMA/CD), MOST, Zigbee, LoRaWAN, NFC, etc. Ils peuvent être téléchargés à distance et exploiter les vulnérabilités existantes dans des systèmes comme l'allumage, la direction, l'accélération, le freinage, le chauffage, les airbags, les portières, les feux et le klaxon. Les logiciels malveillants peuvent agir localement ou à distance sur le calculateur (ECU), l'OBD2, les systèmes ADAS, le réseau de communication CAN-BUS et d'autres composants du véhicule. Ils peuvent envoyer des messages contenant des commandes pour contrôler la direction, les pneus, les freins et d'autres systèmes. Les logiciels malveillants peuvent être utilisés pour saboter les véhicules via les mises à jour de micrologiciel à distance (OTA), que les constructeurs déploient sans fil et automatiquement sur les systèmes connectés des véhicules (voitures, fourgonnettes, camions, bus, camping-cars, etc.). La communication OTA peut permettre la mauvaise configuration ou la désinstallation de mises à jour valides sur certaines unités, ce qui peut potentiellement provoquer des accidents. L'infrastructure OTA (Over-The-Air) implique divers acteurs : fabricants de composants, développeurs de micrologiciels, fournisseurs d'ECU (unités de contrôle électronique), fournisseurs de services cloud, etc. Or, tous ces acteurs ne disposent pas nécessairement du même niveau de contrôle en matière de cybersécurité, ce qui peut engendrer des infections latentes. L'infrastructure OTA permet l'installation et la désinstallation à distance de mises à jour, la modification et la suppression de la configuration du véhicule, ainsi que d'autres actions. Avec des milliers de puces et des millions de lignes de code présentes dans les véhicules, on imagine aisément le nombre considérable de vulnérabilités qui peuvent exister à l'état latent, indétectables par des personnes malveillantes. Selon Parkers.co.uk, 86 % des conducteurs interrogés seraient mal à l'aise si leur voiture partageait des données relatives à leurs habitudes de conduite avec des tiers, et 75 % rejettent les systèmes de collecte de données, pourtant considérés comme des technologies de pointe intégrées aux véhicules les plus modernes.

Un logiciel malveillant peut vous piéger dans votre véhicule, chauffage à fond, portes et fenêtres fermées, moteur impossible à démarrer et communication coupée avec l'extérieur, même votre smartphone, empêchant les mises à jour automatiques, etc.
 

Actuellement, les logiciels malveillants offensifs affectent tous les types de systèmes, d'écosystèmes et d'environnements (rien ni personne n'est à l'abri). En technologies opérationnelles (OT), on trouve les systèmes de contrôle industriel (ICS), les systèmes SCADA, les systèmes cyber-physiques (CPS), l'Internet des objets (IoT), l'Internet industriel des objets (IIoT), l'Internet des objets automatisés (AIoT), les systèmes de communication intégrée (IPC), les unités terminales distantes (RTU), l'Internet des objets médicaux (IoMT), l'Internet des objets (IoE), les systèmes d'automatisation et de contrôle industriels (IACS), le cloud computing (cloud, fog computing, edge computing dans l'automatisation), etc. Dans l'environnement OT, les systèmes de contrôle industriel (ICS) sont des composants informatiques autonomes utilisés dans tous les secteurs industriels : production, raffinage du pétrole, industrie chimique et pharmaceutique, production d'énergie, etc., où la création de produits repose sur une série continue de processus appliqués aux matières premières. En déployant et en programmant des composants ICS (qui intègrent des CPS, des PLC, des IHM, des MES, des serveurs SCADA, etc.), les différentes variables d'un processus industriel peuvent être surveillées et contrôlées à distance ; dans ce contexte, les logiciels malveillants représentent une menace réelle. Une sous-catégorie des ICS est le SIS (Système Instrumenté de Sécurité), utilisé pour protéger les personnes, les installations industrielles et l'environnement si un processus surveillé dépasse les limites de contrôle autorisées (il sert à arrêter les opérations dans les infrastructures nucléaires, les usines pétrolières et gazières, les stations d'épuration, etc., en cas de détection de conditions dangereuses). Ces dispositifs ne sont pas dédiés au contrôle du processus lui-même, mais plutôt à la fourniture d'un signal d'urgence critique permettant une intervention immédiate en cas de défaillance du système de contrôle. Là encore, les logiciels malveillants représentent une menace réelle. Un SIS se compose de trois éléments : (i) Système de capteurs. Ceux-ci servent à collecter les informations nécessaires pour déterminer l'existence d'une situation d'urgence. Les capteurs mesurent des paramètres de processus tels que la température, la pression, le champ magnétique, l'humidité, le débit, le niveau de radioactivité, le champ électrique en V/m et les niveaux de contamination comme l'isocyanate de méthyle, le NO₂, le SO₂, le CO, les dioxines, l'E666, etc. (ii) Contrôleurs (logique de résolution). Ils lisent les signaux des capteurs et exécutent des actions préprogrammées pour prévenir les situations indésirables en fournissant des sorties aux éléments de contrôle finaux. (iii) Éléments de contrôle finaux. Ce sont des actionneurs tels que des interrupteurs marche/arrêt, des électrovannes, des haut-parleurs, des moteurs, des vérins, des relais, des avertisseurs sonores, des alarmes, etc., qui exécutent les décisions logiques du contrôleur. En 2018, un logiciel malveillant sophistiqué (nommé Triton) a infiltré l'un des systèmes Triconex SIS de Schneider Electric déployé dans une infrastructure critique. Diverses technologies ont été utilisées pour développer ce logiciel malveillant, allant des vecteurs de cyberattaque basés sur Windows à la rétro-ingénierie du micrologiciel et des communications à base de microprocesseur. Un logiciel malveillant de type RAT est conçu pour donner un contrôle total sur le système de la victime. Il peut être utilisé pour voler des informations sensibles, espionner le système, contrôler à distance des appareils infectés, saboter des systèmes, etc.

CONSIDÉRATIONS FINALES.
                  L'une des techniques utilisées par les logiciels malveillants offensifs est l'« injection Web », qui consiste à intercepter les fonctions de l'API Windows appelées par le navigateur Web. Ce processus d'interception est appelé « hooking » (une fonction couramment utilisée pour l'injection Web est « HttpSendRequestA »). En interceptant cette fonction, le logiciel malveillant peut analyser les requêtes HTTP à la recherche de données sensibles et confidentielles telles que les identifiants de connexion (nom d'utilisateur et mot de passe), les numéros de carte bancaire, les clés privées, etc., qu'il utilise ensuite ou transmet à une organisation partenaire. Les API Windows sont utilisées pour l'exécution des logiciels malveillants, et les vecteurs d'exécution sans fichier sont mis en œuvre à l'aide de WMI et de PowerShell. Les logiciels malveillants défensifs neutralisent toute tentative de ce type d'activité malveillante.
 
RÉFÉRENCES.
- Areitio, J. « Information Security: Networks, Computing and Information Systems ». Cengage Learning-Paraninfo. 2020.
- Areitio, J. « Controlling the growing empowerment of malware: identification and exploration of key aspects of malware ». Conectrónica Magazine. N° 240. Février 2021.
- Areitio, J. « Le danger de l’ignorance face à la contamination par des logiciels malveillants peut engendrer de graves situations cyber-épidémiologiques mondiales. » Conectrónica Magazine. N° 241. Mars-Avril 2021.
- Areitio, J. « Précisions sur les logiciels malveillants, les cyber-pandémies et les scénarios cyber-épidémiologiques critiques. Protection contre les logiciels malveillants : une défense proactive. » Conectrónica Magazine. N° 242. Mai-Juin 2021.
- Areitio, J. « Points de convergence entre logiciels malveillants, vulnérabilités et exploits : indicateurs d’infiltration, surface d’infection et danger des logiciels malveillants. » Conectrónica Magazine. N° 243. Juillet 2021.
- Areitio, J. « Adaptation à la variabilité des infections par logiciels malveillants non détectées dans tous les types de scénarios, d’environnements et d’écosystèmes actuels. » Conectrónica Magazine. N° 244. Septembre 2021.
- Areitio, J. « Dualité des logiciels malveillants intelligents avancés (offensifs et défensifs), points d'action et opérations d'expansion transparentes. » Conectrónica Magazine. N° 245. Octobre 2021.
- Areitio, J. « Éléments et approches pour la conception et la synthèse de logiciels malveillants intelligents défensifs avancés. » Conectrónica Magazine. N° 246. Novembre 2021.
- Areitio, J. « Développement de logiciels malveillants intelligents défensifs avancés. » Neutralisation des actions des logiciels malveillants offensifs. Conectrónica Magazine, n° 247, décembre 2021.
- Karbab, E.B., Debbabi, M., Derhab, A. et Mouheb, D. « Détection de logiciels malveillants Android par apprentissage automatique : empreinte numérique et renseignement sur les menaces. » Springer, 2021.
- Stanford, E. « Guerre des cryptomonnaies : fausses morts, milliards disparus et bouleversements du secteur. » Kogan Page, 2021.
- Sanders, C. « Pots de miel pour la détection d’intrusion : détection par la défense réseau appliquée. »
- Ligh, M.L. « L’art de l’analyse forensique de la mémoire : détection des logiciels malveillants et des menaces dans la mémoire Windows, Linux et Mac.
» Logiciels malveillants modernes et menaces de nouvelle génération. No Starch Press, 2019.
- Stamp, M., Alazab, M. et Shalaginov, A. « Analyse des logiciels malveillants par intelligence artificielle et apprentissage profond. » Springer. 2021.
- Bilge, L., Cavallaro, L., Pellegrino, G. et Neves, N. « Détection des intrusions et des logiciels malveillants, et évaluation des vulnérabilités ». 18e Conférence internationale, DIMVA 2021. Springer. 2021. 
- Ludwig, M. « Le livre noir géant des virus informatiques ». American Eagle Books. 2019.
- Mohanta, A. et Saldanha, A. « Ingénierie de l'analyse et de la détection des logiciels malveillants : une approche globale pour détecter et analyser les logiciels malveillants modernes ». Press. 2020.
- Astra, JD « Logiciels malveillants ». Shadow Alley Press. 2021.
- Monnappa, KA « Apprendre l'analyse des logiciels malveillants : explorer les concepts, les outils et les techniques pour analyser et enquêter sur les logiciels malveillants Windows ». Packt Publishing. 2018.