Researchers Uncover Pre-Stuxnet ‘fast16’ Malware Targeting Engineering Software

Fast16 : La découverte d’un précurseur de Stuxnet dédié au sabotage industriel

Des chercheurs de SentinelOne ont identifié fast16, un framework de cyber-sabotage sophistiqué datant de 2005. Ce malware, qui précède de cinq ans le célèbre ver Stuxnet, constitue l’une des premières armes numériques documentées conçues pour manipuler les résultats de calculs scientifiques et d’ingénierie, visant potentiellement des programmes nucléaires.

Points clés :

• Origines : Le malware a été découvert via un artefact nommé svcmgmt.exe (compilé en 2005) et lié à des outils ayant fuité du groupe Equation (lié à la NSA) via les Shadow Brokers.
• Architecture : Il s’agit du premier malware Windows connu à intégrer une machine virtuelle Lua pour gérer sa logique et ses configurations.
• Fonctionnement : Le framework est modulaire et comprend un pilote noyau (fast16.sys) capable d’intercepter les accès disque pour injecter du code malveillant dans des exécutables ciblés.
• Cibles probables : L’analyse des règles de patch pointe vers des logiciels de simulation de haute précision utilisés dans la physique et le génie civil, notamment LS-DYNA, PKPM et MOHID.
• Impact : En modifiant subtilement les calculs, le malware pouvait ralentir la recherche scientifique ou provoquer des défaillances structurelles critiques sur le long terme.

Vulnérabilités exploitées : Le malware cible principalement les environnements Windows 2000/XP. Il tire parti de :

• Propagations via le réseau : Utilisation de l’outil SCM (Service Control Manager) pour scanner et infecter des systèmes via des identifiants faibles ou par défaut.
• Évasion : Détection proactive d’outils de sécurité (antivirus/pare-feu d’époque comme Symantec, Kaspersky, etc.) pour éviter toute détection sur les machines infectées.
• Aucune CVE spécifique n’est mentionnée, car l’outil reposait sur des méthodes d’injection noyau et de manipulation de processus à bas niveau propres aux systèmes d’exploitation de l’époque.

Recommandations : Bien que fast16 soit un outil historique conçu pour des systèmes obsolètes, cette découverte souligne l’importance des mesures de défense suivantes :

• Dépréciation des systèmes hérités : Les systèmes Windows 2000/XP ne doivent plus être connectés à des réseaux critiques.
• Segmentation réseau : Isoler les stations de travail effectuant des simulations d’ingénierie critiques pour limiter la propagation latérale.
• Surveillance de l’intégrité : Utiliser des solutions modernes de détection (EDR/XDR) capables de surveiller les modifications suspectes au niveau du noyau et les injections de code au runtime.
• Gestion des privilèges : Appliquer le principe du moindre privilège pour empêcher les services (type svcmgmt.exe) de s’élever automatiquement en tant qu’administrateur système.

Source