Selon des données recueillies par Symantec, 60% des systèmes infectés par Stuxnet sont situés en Iran. L'Indonésie et l'Inde ont aussi été très touchées par le logiciel espion. Elias Levy, directeur technique chez Symantec Security Response, explique que c'est en regardant les dates sur les signatures numériques générées par le vers que l'éditeur a pu déterminer qu'il devait être en circulation depuis au moins le mois de janvier.

L'Iran, cible plus facile ou aux secrets plus intéressants ?

C'est VirusBlokAda, éditeur biélorusse d'antivirus, qui a le premier découvert l'existence de Stuxnet, le mois dernier, dans un système infecté d'un de ses clients iraniens. Le vers, pour rappel, fonctionne de la manière suivante : il cherche un système Scada de Siemens, utilisé par les sites industrielles, et télécharge ses secrets de production sur Internet. Symantec admet ne pas comprendre pourquoi ces pays sont plus particulièrement touchés que d'autres. « Ce dont nous sommes sûrs cependant, c'est que celui ou ceux qui ont développé ce virus ciblaient des entreprises de ces zones géographiques précises » indique Elias Levy. Il ajoute que du fait de l'embargo des Etats-Unis contre l'Iran, le pays est probablement très peu équipé en antivirus tout en étant en parallèle le plus touché par Stuxnet.

Siemens n'a pas voulu donner le nombre de clients iraniens de Scada, mais affirme que deux entreprises allemandes ont été elles-aussi infectées. Le scanner de virus gratuit mis à disposition par la société la semaine dernière a été téléchargé 1500 fois selon un porte-parole. Plus tôt dans l'année, Siemens avait indiqué vouloir ralentir son activité iranienne forte de 290 salariés qui avait réalisé un bénéfice net de 438 millions d'euros en 2008. Des critiques avaient en effet affirmé que de l'entreprise dans le pays avait contribué au développement du programme nucléaire iranien.

Peu de PC infectés dans le monde

Symantec a recueilli ses données en travaillant de près avec l'industrie, redirigeant le trafic destiné à la commande du virus et celui des serveurs de contrôle vers ses propres ordinateurs. Sur une période de trois jours, ceux-ci ont localisé 14 000 adresses IP tentant d'accéder à ces deux éléments, ce qui indique que peu de PC ont été touchés à travers le globe. Ils seraient en réalité entre 15 000 et 20 000, étant donné que de nombreuses entreprises utilisent une seule adresse pour plusieurs postes de travail. Les IP ayant été relevées par Symantec peuvent désormais être associées aux sociétés effectivement infectées afin de les localiser. « Sans surprise, les machines infectées se trouvent dans des organisations qui utiliseraient en principe des systèmes Scada, ciblés par les attaquants » remarque Symantec sur son blog.

Le vers se propage par l'intermédiaire de dispositifs USB. Une fois inséré dans une machine sous Windows, il se met à la recherche d'un système Siemens et se copie vers tout autre port USB occupé. Une solution temporaire pour le bug de Windows qui rend possible la propagation de Stuxnet peut être trouvée à cette adresse.

Crédit Photo : Symantec