Turla, l'hydre russe qui défie les ripostes occidentales

Chez Turla, chaque tête coupée repousse sous une autre forme. Un serveur tombe, un implant change de signature, une infrastructure renaît ailleurs, c’est la marque de fabrique du groupe de cyberespionnage russe. Par l’attribution officielle des campagnes d’espionnages au Centre 16 du FSB (Service fédéral de sécurité de la fédération de Russie) le 13 juillet, Paris n’a pas cherché à terrasser l’hydre. Elle compte lui faire payer sa prochaine mue. Et le calendrier ne doit rien au hasard. La guerre en Ukraine s’enlise et déborde du champ de bataille. Des drones russes franchissent les frontières polonaises et roumaines. “Il y a une forme de message envoyé pour dire : on vous suit sur tous les terrains, physiques comme numériques”, explique François Deruty, responsable du renseignement sur les menaces cyber chez Sekoia. L'attribution s’inscrit dans une réponse européenne, accompagnée de sanctions. Les mandats d’arrêt, eux, s’arrêtent aux frontières russes. L'addition se paie ailleurs. L’exposition de leur mode opératoire, elle, revient à dévaluer des mois, parfois des années d’investissement. “Publier techniquement leur fonctionnement les force à changer leurs infrastructures et leurs méthodes. Ça a un coût pour eux, en temps et donc en argent”, poursuit François Deruty. Turla connaît la mécanique. Le groupe sait que ses outils finiront disséqués et ses infrastructures démantelées. Il budgète la perte avant même le lancement d’une campagne. “Ça ne suffit pas pour changer le rapport de force au quotidien”, nuance-t-il. Les Occidentaux lui imposent un coût. Turla, lui, le transforme en dépense courante. C’est ainsi qu’un groupe exposé depuis 2004 continue de prospérer sous son propre nom. 

Un visage tombe, un autre prend sa place 

Encore faut-il que la facture arrive avant le déménagement. En 2023, l'opération Medusa a assaini plus d'une centaine de machines compromises par Snake, l'un des implants les plus sophistiqués attribués à Turla. Une victoire... sur un champ de bataille déserté. “On intervient toujours avec un train de retard. Souvent, à la fin de la campagne d’attaque”, assume le responsable du renseignement sur les menaces cyber. Entre l'analyse technique, les demandes judiciaires et l'identification des serveurs, plusieurs mois s’écoulent. Les attaquants, eux, sont déjà ailleurs. François Deruty compare Medusa au démantèlement d’un malware étatique chinois auquel il a participé avec le FBI. Le serveur récupéré fonctionnait encore. “On avait encore beaucoup de victimes qui s’y connectaient régulièrement, donc beaucoup de choses à désinfecter”, raconte-t-il. Pour les attaquants, l’infrastructure avait atteint sa fin de vie. De leur côté, les défenseurs exploitent les dernières traces pour remonter la chaîne d’infection et disséquer le logiciel malveillant. Mais chez Turla le malware est un consommable. Snake disparaît. Kazuar prend le relais. Puis Kazuar change encore de visage. L'intelligence artificielle accélère cette mue permanente. À partir d'un premier échantillon identifié, elle produit des dizaines de variantes avec les mêmes fonctions et une empreinte différente mais, surtout, capables d'échapper aux règles de détection. “Il va falloir que je trouve les 99 autres”, résume François Deruty. Les générations suivantes ajoutent des fonctions, exploitent de nouvelles vulnérabilités et taillent chaque attaque à la mesure de sa cible. Le temps d'identifier un visage, le groupe en présente déjà un nouveau. 

Les PME, ces clés d’accès qui s’ignorent 

Changer de peau ne sert à rien s'il faut forcer chaque porte, surtout les blindées. Turla préfère récupérer les clés dans la chaîne d’approvisionnement. Si les ministères, les administrations régaliennes et les industriels de la défense constituent ses cibles, le groupe de cyberespions s’attaque aux PME, prestataires ou même particuliers pour les atteindre. Ces relais offrent une entrée plus discrète, sans attirer l’attention réservée à une infrastructure russe. La première victime ne détient parfois aucun secret. Elle offre beaucoup mieux : une adresse IP (ici française), une relation commerciale, un accès distant ou une machine laissée sans surveillance. “On peut être une victime, sans avoir des sujets d’intérêt à protéger chez nous. On est juste un relais”, prévient François Deruty. Turla transforme alors l’organisation compromise en maillon de sa propre infrastructure. Ses serveurs font transiter les commandes. Ses postes hébergent un code malveillant. Son identité numérique couvre la progression vers la véritable cible. La structure ignore le rôle qu’on lui a distribué. “Il y a quand même peu de chances que les relais soient vraiment conscients ou participants”, explique François Deruty. Les analystes découvrent parfois ces intermédiaires en remontant une campagne déjà active. Ils préviennent les autorités, récupèrent le code installé sur la machine et nettoient le système avec l’accord de l’entreprise. L’échange profite aux deux camps. La victime retrouve son réseau. Les défenseurs obtiennent un échantillon encore frais et une nouvelle pièce du puzzle. Mais l’attaque a déjà changé d’échelle. Turla n’a pas seulement compromis une entreprise. Il a emprunté sa réputation pour approcher une autre porte. La PME ne figurait pas sur la liste des cibles. Elle en était la clé. 

Arme cyber, de la dissuasion à l’emploi 

Une clé volée peut attendre dans la serrure. Au début de l’invasion de l’Ukraine, des wipers (virus effaceurs) ont précédé les offensives terrestres. Leur fonction dépassait l’effacement de données. Ils désorganisaient les réseaux avant l’arrivée des troupes, compliquaient les communications et ralentissaient la capacité de réaction ukrainienne. “Pendant longtemps, on comparait l’arme cyber à la dissuasion. Aujourd’hui, c’est une arme d’emploi”, expose François Deruty. Le sabotage attribué à Turla contre les réseaux polonais d’eau potable, les installations énergétiques et le rail a porté cette stratégie sur le territoire d’un pays de l’OTAN. La panne ne constitue pas son seul effet. Il s’agit d’une démonstration de force. Les attaquants prouvent leur capacité à perturber une infrastructure civile loin du front. Et sa seule hypothèse suffit à consacrer des moyens humains, techniques et financiers à une menace permanente. “Attaquer les infrastructures polonaises, ça envoie aussi un message. On peut aller plus loin. On peut franchir des frontières”, analyse François Deruty. Le FSB bénéficie de la continuité d’un service d’État. Il entretient ses accès, mesure la réaction adverse et avance sous le seuil susceptible de provoquer une riposte ouverte. Chaque intrusion devient une position. Chaque position impose une vigilance durable. Moscou retourne la facture. La panne reste éventuelle. L’usure, elle, a commencé.