Le virus qui a détruit des machines

Un logiciel qui casse du métal

Jusqu'en 2010, un virus informatique volait des données, chiffrait des fichiers ou paralysait des ordinateurs. Stuxnet a franchi une frontière que l'on croyait théorique : détruire des équipements physiques. Sa cible était l'usine d'enrichissement d'uranium de Natanz, en Iran, et son objectif, endommager les centrifugeuses qui y tournaient — sans que personne ne comprenne pourquoi elles cassaient.

Franchir le vide

Les systèmes industriels de Natanz étaient isolés d'internet, une protection appelée air gap : aucun câble, aucune connexion vers l'extérieur. Stuxnet a contourné cette barrière en se propageant par clés USB, probablement introduites par des intermédiaires. Pour s'installer et se déplacer sans être détecté, il exploitait quatre vulnérabilités Windows totalement inconnues à l'époque — quatre failles zero-day dans un même logiciel malveillant, ce qui était sans précédent — et signait ses composants avec des certificats numériques volés à deux fabricants de matériel, pour paraître légitime.

Une cible chirurgicale

Stuxnet n'était pas une arme aveugle. Une fois sur une machine, il vérifiait une longue liste de conditions avant d'agir : la présence du logiciel Siemens Step 7, des automates programmables des modèles S7-300, et surtout des variateurs de fréquence de marques précises (Vacon et Fararo Paya), en nombre suffisant. Ce n'est que si toute cette signature correspondait — en pratique, la configuration exacte des cascades de Natanz — qu'il déclenchait son sabotage. C'est pourquoi il a infecté plus de 100 000 ordinateurs dans le monde en ne causant de dégâts physiques que sur un seul site.

1. Propagation par clé USB pour franchir l'air gap.
2. Exploitation de quatre failles zero-day Windows et de certificats volés.
3. Recherche du logiciel Siemens Step 7 et des automates S7-300.
4. Vérification des variateurs de fréquence Vacon et Fararo Paya, en nombre suffisant.
5. Déclenchement du sabotage seulement si toute la signature correspond.

Le sabotage, et le mensonge à l'écran

Le sabotage lui-même était d'une simplicité brutale. Stuxnet modifiait la vitesse de rotation des centrifugeuses : il les poussait bien au-delà de leur régime nominal — de l'ordre de 30 % au-dessus de la vitesse maximale prévue — puis les faisait brutalement chuter, en cycles répétés. Cette alternance créait des vibrations et une fatigue mécanique qui fissuraient les rotors. Mais le vrai coup de maître était ailleurs.

Ce qui est établi, et ce qui ne l'est pas

Il faut distinguer les faits techniques, solidement documentés par l'analyse du code, des éléments qui relèvent de l'attribution. Le fonctionnement de Stuxnet a été disséqué publiquement, notamment par les chercheurs de Symantec. En revanche, son origine n'a jamais été officiellement reconnue : la presse et de nombreux experts l'attribuent à une opération conjointe américano-israélienne, mais aucun État ne l'a revendiquée. De même, le chiffre d'environ mille centrifugeuses est une estimation de l'Institute for Science and International Security, pas un décompte officiel iranien.