Chaque intrusion dans les réseaux OT s'inscrit dans une chaîne d'attaques : Le paysage des menaces pesant sur les systèmes ICS/OT, 2024-2026

Au cours des deux dernières années, les attaques visant les systèmes de contrôle industriels et les technologies opérationnelles sont passées du statut de risque théorique à celui de réalité opérationnelle. Les États ne se contentent plus de se positionner au sein des infrastructures critiques ; ils passent à l'action. Les programmes de suppression de données ont supplanté les ransomwares comme arme de prédilection des acteurs soutenus par des États qui ciblent les environnements OT. Un seul et même schéma relie presque tous les incidents majeurs : un fichier malveillant a franchi une frontière de confiance que personne ne surveillait.

Cet article passe en revue le paysage des menaces pesant sur les systèmes ICS et OT de 2024 au début de l'année 2026, non pas sous la forme d'un simple répertoire de noms d'APT et de numéros CVE, mais sous la forme d'un récit. Nous commencerons par une vue d'ensemble : ce qui s'est passé et à quel moment. Nous examinerons ensuite qui se cache derrière ces attaques, comment elles ont été menées, puis nous analyserons en détail un incident particulier afin de montrer à quoi ressemble, de l'intérieur, une attaque moderne visant à effacer les données d'un système ICS.

Chiffres clés

• En 2025, 119 groupes de ransomware ont activement pris pour cible des environnements OT, soit une hausse de 49 % par rapport aux 80 groupes recensés en 2024

• Plus des deux tiers des victimes de ransomware dans le secteur des technologies de l'opération (OT) étaient des fabricants, ce qui en fait le secteur le plus ciblé

• Volt Typhoon a opéré sans être détecté au sein du réseau OT d'un fournisseur d'électricité américain pendant plus de 300 jours

• Rien qu'entre 2024 et 2025, six campagnes de piratage ont visé des systèmes ICS/OT, soit plus que durant toute autre période comparable

Avant d'analyser qui se cache derrière ces attaques ou comment elles fonctionnent, il est utile de les replacer dans leur contexte chronologique. Le tableau ci-dessous répertorie tous les incidents majeurs liés aux systèmes ICS/OT survenus au cours de cette période — classés par secteur, acteur malveillant et zone géographique — afin que vous puissiez vous repérer avant d'approfondir le sujet.

Le rythme s'accélère. À elle seule, l'année 2025 a vu se multiplier les campagnes de radeaux de malwares ciblant les systèmes ICS/OT, plus que lors de toutes les années précédentes. La couverture géographique s'est élargie, dépassant le théâtre des opérations Ukraine-Russie pour s'étendre aux États membres de l'OTAN tels que la Pologne, à l'Europe occidentale (y compris la Norvège) et au Moyen-Orient (y compris Israël). La diversité des secteurs touchés s'est également étendue, dépassant les domaines de l'énergie et de l'eau pour inclure les soins de santé, les télécommunications et l'industrie manufacturière.

Ces attaques touchent différents pays, secteurs et victimes, mais elles commencent toutes de la même manière : par un fichier qui a échappé à la vigilance de tous. Il suffit d'en déclencher un seul pour comprendre immédiatement qu'il est conçu pour causer des dégâts.

La chronologie ci-dessus est dense, mais elle n'est pas aléatoire. Les incidents se concentrent autour d'un petit nombre de groupes d'acteurs, chacun ayant des motivations, des capacités et des cibles privilégiées qui lui sont propres.

La Russie — toujours la source la plus importante de menaces pour les systèmes de contrôle industriel (ICS)

Les acteurs liés à la Russie représentent la plus grande part des activités visant les systèmes de contrôle industriel (ICS) au cours de cette période, agissant par l'intermédiaire de plusieurs groupes assumant des rôles différents.

Sandworm (ELECTRUM) reste l'acteur malveillant le plus compétent au monde en matière de systèmes de contrôle industriel (ICS). Sa campagne menée en décembre 2025 contre le réseau électrique polonais a visé une trentaine de sites d'énergie décentralisée, notamment des installations de cogénération et des systèmes de gestion des énergies renouvelables, tels que l'éolien et le solaire. Il s'agissait de la première cyberattaque coordonnée d'envergure visant des ressources énergétiques décentralisées à grande échelle.

Le logiciel malveillant DynoWiper utilisé lors de cette attaque était un programme de destruction de données de type Windows PE qui visait les infrastructures énergétiques. Il a effacé les données des machines Windows sur les sites de ressources énergétiques décentralisées (DER) et a rendu certains équipements de technologie opérationnelle (OT) et de systèmes de contrôle-commande (ICS) irréparables. Bien qu'aucune coupure de courant ne se soit produite, les attaquants ont réussi à accéder à des systèmes de technologie opérationnelle essentiels au fonctionnement du réseau électrique.

Auparavant, leur campagne « PathWiper » avait pris pour cible des infrastructures critiques ukrainiennes à l'aide d'un dropper VBScript associé à un wiper PE qui détruit le MBR et MFT écrase les fichiers sur tous les disques. En 2024, ils ont déployé « AcidPour », un wiper ELF sous Linux, contre les infrastructures de télécommunications ukrainiennes et ont orchestré une attaque visant la chaîne d'approvisionnement des systèmes énergétiques et d'approvisionnement en eau.

KAMACITE fait office de couche d'infrastructure de base. En 2025, ce groupe lié au GRU a été observé en train de mener des opérations de reconnaissance sur des cibles industrielles américaines, ce qui correspond à des activités de préparation qui, historiquement, précèdent les opérations destructrices d'ELECTRUM.

La Chine : une nation patiente, profonde et en pleine expansion

L'approche de la Chine est fondamentalement différente de celle de la Russie. Là où les acteurs russes détruisent, les acteurs chinois persévèrent.

La présence de VOLTZITE (Volt Typhoon) a été confirmée au sein du réseau OT d'un fournisseur d'électricité américain pendant plus de 300 jours, où il a exfiltré des données SIG et des configurations du système OT. Il ne s'agissait pas d'espionnage pour l'espionnage. Le schéma de prépositionnement correspond à la préparation d'une future perturbation de l'infrastructure électrique américaine.

En 2025, le courtier d'accès initial SYLVANITE a rapidement exploité des vulnérabilités dans les appliances VPN Ivanti, les équipements F5 et d'autres infrastructures périphériques. Ces points d'ancrage ont ensuite été intégrés au pipeline VOLTZITE afin de mener des intrusions plus approfondies dans les réseaux OT. Les cibles se sont élargies pour inclure à la fois les services publics d'électricité et d'eau.

AZURITE, un groupe récemment identifié en 2025, marque une intensification des attaques ciblant les réseaux opérationnels (OT) liées à la Chine. AZURITE cible activement les postes de travail des ingénieurs OT dans les secteurs de l'industrie manufacturière, de la défense et de l'automobile aux États-Unis, en Australie et en Europe. Le groupe s'attache principalement à exfiltrer des schémas de réseau, des données d'alarme et des configurations de processus.

Iran — franchir la ligne rouge et en venir aux mains

Les acteurs soutenus par l'État iranien ont opéré un tournant décisif au cours de cette période, passant d'une approche opportuniste à une ciblage délibéré des processus physiques.

Le groupe CyberAv3ngers (BAUXITE / IRGC) a compromis plus de 75 appareils dans plusieurs installations de distribution d'eau aux États-Unis entre 2023 et 2024, notamment en prenant directement le contrôle d'un automate programmable (PLC) dans une station de surpression en Pennsylvanie. Leur logiciel malveillant IOCONTROL, un binaire Linux doté d'un système de commande et de contrôle basé sur MQTT intégré dans les paquets de mise à jour du micrologiciel des appareils, a été spécialement conçu pour compromettre les appareils OT. En 2025, le groupe BAUXITE a déployé des variantes du wiper BlueWipe-SewerGoo contre des infrastructures énergétiques et de stockage israéliennes.

En 2025, le groupe PYROXENE (IRGC-CEC, dont les activités recoupent celles d’APT35) a pris pour cible des infrastructures critiques et des réseaux gouvernementaux en Israël et en Albanie. Le groupe a combiné des techniques d’ingénierie sociale et la compromission de la chaîne d’approvisionnement pour déployer des charges utiles de type « wiper » au format PE.

Handala incarne la frontière floue entre le hacktivisme et la destruction orchestrée par un État. Considéré par plusieurs agences de renseignement sur les menaces comme une façade pour un acteur malveillant appelé Void Manticore, soutenu par le ministère iranien du Renseignement et de la Sécurité, ce groupe a fait son apparition fin 2023 et mène depuis lors des opérations de destruction massive contre des cibles israéliennes.

Leur boîte à outils est techniquement sophistiquée. Des e-mails de phishing, souvent rédigés dans un hébreu courant, transmettent un programme d'installation NSIS qui lance un script AutoIT afin d'injecter le programme de destruction de données dans un processus Windows légitime. La charge utile finale écrase les fichiers avec des données aléatoires, élève les privilèges à l'aide d'un pilote vulnérable et exfiltre des informations système via API de Telegram API détruire les données.

Cet installateur comporte de nombreux éléments mobiles : des fichiers fractionnés, dotés de faux noms, et des commandes assemblées au fur et à mesure de son exécution. Mais chaque étape n'est en réalité que l'ajout et le lancement d'un fichier supplémentaire. L'analyse de l'échantillon révèle l'ensemble de la séquence avant que le programme de suppression ne commence à effacer quoi que ce soit.

Au-delà de tous ces incidents impliquant différents acteurs, secteurs et zones géographiques, on observe un ensemble de schémas récurrents.

Les essuie-glaces sont devenus l'outil de destruction par excellence

Il s'agit de la tendance la plus marquante en matière de menaces pesant sur les systèmes ICS et OT. Rien qu'en 2024-2025, au moins six campagnes distinctes de wiper ont ciblé des environnements industriels et des infrastructures critiques : DynoWiper visant le secteur énergétique polonais, PathWiper visant les infrastructures critiques ukrainiennes, AcidPour visant les télécommunications ukrainiennes, BAUXITE ou BlueWipe-SewerGoo visant le secteur énergétique israélien, PYROXENE visant les infrastructures gouvernementales et critiques en Israël et en Albanie, et Handala visant le secteur mondial de la santé.

Ces programmes de suppression de données sont de plus en plus ciblés. DynoWiper a été déployé spécifiquement contre des infrastructures énergétiques en Pologne, effaçant les machines fonctionnant sous Windows sur des sites énergétiques décentralisés et rendant certains équipements OT irrécupérables. PathWiper détruit le MBR et MFT réécrire les fichiers, rendant ainsi la récupération aussi difficile que possible. AcidPour cible les appareils Linux embarqués, effaçant les volumes UBI et les partitions Device Mapper utilisés dans les équipements OT.

L'attaque Stryker menée par Handala a mis en évidence un autre type d'évolution. Au lieu de déployer à grande échelle des logiciels malveillants sur mesure, les pirates ont détourné un outil de gestion d'entreprise légitime, Microsoft Intune, pour lancer simultanément une commande d'effacement massif sur tous les appareils enregistrés. Cela a eu pour effet de transformer l'infrastructure même de l'organisation en arme. Il ne s'agit pas ici d'outils polyvalents réutilisés pour les systèmes OT. Ces outils sont spécialement conçus ou détournés pour les environnements qu'ils affectent.

Les logiciels malveillants ciblant les systèmes de contrôle-commande (ICS) gagnent en sophistication

FrostyGoop mérite une attention particulière en tant qu’étape décisive. Déployé contre le réseau de chauffage urbain de Lviv en janvier 2024, il s’agit du premier logiciel malveillant à avoir directement exploité le protocole Modbus TCP dans un environnement de production. Écrit en Go et compilé sous forme de fichier binaire PE Windows, il a été introduit via le réseau d’ingénierie, passant du domaine informatique (IT) au domaine opérationnel (OT) par le biais d’un transfert de fichiers. L’attaque a privé de chauffage plus de 600 immeubles d’habitation pendant deux jours, alors que les températures étaient inférieures à zéro.

FrostyGoop revêt une importance particulière car le protocole Modbus TCP est largement utilisé dans les environnements industriels à travers le monde. Ce logiciel malveillant a démontré que les pirates ne se contentent plus de cibler les postes de travail Windows situés à proximité des systèmes OT. Ils développent désormais des programmes capables de communiquer directement avec les protocoles industriels.

La raison d'être de FrostyGoop réside dans le code qu'il charge : les bibliothèques qu'il importe n'ont qu'un seul but, à savoir communiquer avec des contrôleurs industriels

Les schémas observés dans les attaques visant les systèmes de contrôle industriel (ICS) et les infrastructures opérationnelles (OT) mettent en évidence une réalité constante : des menaces inconnues et insaisissables s'introduisent dans les environnements sous forme de fichiers, franchissent les barrières de confiance et s'exécutent avant que les défenses traditionnelles ne puissent réagir. Pour contrer ces attaques, il faut à la fois une analyse comportementale approfondie et la capacité de détecter les intentions malveillantes avant l'exécution.

MetaDefender est la solution unifiée de détection des menaces « zero-day » OPSWAT, conçue pour mettre au jour les menaces inconnues et furtives dissimulées dans les fichiers. Elle combine le sandboxing adaptatif, les renseignements sur les menaces, la notation des menaces et la recherche de similitudes par apprentissage automatique au sein d'un pipeline de détection unique qui fournit un verdict fiable pour chaque fichier.

En exécutant des fichiers dans un environnement émulé, Aether met au jour des comportements cachés, tels que la logique des ransomwares, l'injection de code, les techniques anti-analyse et les charges utiles en plusieurs étapes, que les outils statiques ne peuvent pas détecter. Il met en corrélation ces résultats avec des milliards d'indicateurs de menaces afin d'identifier les risques, de découvrir des variantes et de relier ces activités aux techniques connues des cybercriminels.

Cette approche permet aux organisations de détecter les menaces de type « zero-day » dans les fichiers exécutables, les scripts, les archives et les fichiers de correctifs qui ne peuvent être ni nettoyés ni modifiés. Elle répond également aux exigences de conformité des secteurs réglementés où l'analyse dynamique est obligatoire et où l'intégrité des fichiers doit être préservée.