Découverte
| Paramètre | Valeur |
|---|---|
| Date de découverte | Juin 2010 (VirusBlokAda, Biélorussie) |
| Période d'activité estimée | 2007–2010 |
| Attribution probable | NSA (États-Unis) + Unité 8200 (Israël) — opération « Olympic Games » |
| Cible | Centrifugeuses iraniennes IR-1 pilotées par automates Siemens S7, usine d'enrichissement de Natanz, Iran |
| Taille du code | ~500 Ko (extrêmement compact pour sa complexité) |
| Zero-days exploitées | 4 (Windows : LNK, Print Spooler, Win32k, Task Scheduler) |
| Certificats volés | 2 (Realtek Semiconductor, JMicron Technology) |
Explication technique
1. Vecteur d'infection initial : clé USB. Natanz est air-gapped (non connecté à Internet). Stuxnet se propage via des clés USB infectées, utilisant la vulnérabilité LNK (CVE-2010-2568) : un simple affichage de l'icône du fichier .lnk suffit à exécuter le code malveillant. Le ver se copie ensuite sur les partages réseau via MS08-067 (vulnérabilité Server Service).
2. Reconnaissance et ciblage précis. Une fois dans le réseau local, Stuxnet recherche spécifiquement le logiciel STEP 7 de Siemens et l'automate programmable S7-315/S7-417. Il vérifie la présence de convertisseurs de fréquence Vacon (Finlande) ou Fararo Paya (Iran) fonctionnant entre 807 Hz et 1 210 Hz — la signature exacte des cascades de centrifugeuses IR-1. Si l'environnement ne correspond pas, le ver reste dormant.
3. Attaque man-in-the-middle sur l'automate. Stuxnet intercepte la communication entre STEP 7 et le PLC en modifiant la DLL s7otbxdx.dll. Il injecte des commandes qui font varier la fréquence des centrifugeuses : montée à 1 410 Hz (+ 33 %) pendant 15 minutes, puis chute brutale à 2 Hz, puis retour à 1 064 Hz. Pendant la manipulation, l'automate renvoie aux opérateurs les dernières données enregistrées « normales » — un replay attack matériel.
4. Mécanisme de destruction physique. Les centrifugeuses IR-1 (dérivées de la P-1 pakistanaise) utilisent un rotor en aluminium — relié par des soufflets en acier maraging — tournant à 1 064 Hz (~63 840 tr/min). À 1 410 Hz (~84 600 tr/min), le rotor approche sa vitesse critique de résonance, provoquant des vibrations qui endommagent les paliers et causent des fuites d'UF₆. La chute à 2 Hz provoque un choc mécanique par décélération brutale, brisant les roulements.
Pourquoi ça a fonctionné
Stuxnet combine deux innovations : le ciblage chirurgical (il ne s'active que dans un environnement industriel très spécifique) et le camouflage SCADA (les opérateurs voient des données normales). Cette approche « man-in-the-middle » transposée au monde physique est sans précédent. Les ingénieurs iraniens ont d'abord cru à des défauts de fabrication des centrifugeuses — ils ont mis des mois à soupçonner une cyberattaque.
La sophistication du code (4 zero-days, 2 certificats volés, connaissance intime du protocole Profibus/Profinet de Siemens) indique des ressources étatiques. Le budget est estimé à 1–2 millions de dollars et des années de développement.
Chaîne causale
Programme nucléaire iranien accélère (2003–2006) → Opération « Olympic Games » lancée sous Bush, poursuivie sous Obama → Stuxnet déployé via clés USB (2007–2010) → ~1 000 centrifugeuses IR-1 détruites → Programme iranien retardé de 1–2 ans → Découverte accidentelle par propagation hors cible (2010) → Publication des analyses (Symantec, Langner) → Toutes les nations développent des capacités offensives cyber → Naissance de la doctrine de « cyber-warfare »
Anecdote : Stuxnet contenait un compteur d'infection limité à 3 propagations par clé USB. Malgré cette précaution, le ver s'est échappé de Natanz (probablement via l'ordinateur portable d'un ingénieur iranien connecté à Internet) et a infecté ~100 000 machines dans plus de 155 pays — sans jamais activer sa charge destructrice hors de l'environnement cible.
Limites et controverses
Les attributions et détails techniques de certains événements reposent sur des analyses de chercheurs indépendants et des documents déclassifiés, dont l'exhaustivité n'est pas garantie. Certains aspects restent classifiés ou disputés par les parties impliquées.
Sources
Références vérifiées lors de l'audit factuel d'août 2026 : ce sont les pages
contre lesquelles les affirmations de ce bulletin ont été confrontées.