Lotus Wiper : le nouveau wiper frappe le Venezuela

Ce qui s'est passé

Les équipes de recherche de Kaspersky ont révélé le 23 avril l'existence de Lotus Wiper, un malware destructeur jusqu'alors non documenté, déployé dans des attaques ciblées contre des opérateurs d'énergie et d'utilities au Venezuela. L'analyse du dossier Lotus Wiper Venezuela montre que l'artefact a été compilé fin septembre 2025, puis qu'un échantillon rattaché à la campagne a été soumis à un dépôt public de malwares à la mi-décembre depuis une adresse IP vénézuélienne. Contrairement à un rançongiciel, ce type de charge ne poursuit aucun objectif financier : il vise la destruction irréversible des données et l'indisponibilité durable des systèmes atteints, avec un impact direct sur la continuité des services essentiels. La chronologie, le secteur ciblé et le soin apporté à l'outil suggèrent une opération préparée de longue date, dont les motivations dépassent vraisemblablement le simple gain criminel.

Techniquement, Lotus opère à bas niveau via des appels IOCTL directs aux disques. Il récupère la géométrie du support, efface les entrées du journal USN, supprime les points de restauration Windows, puis réécrit les secteurs physiques — pas seulement les volumes logiques. Cette approche dépasse la simple destruction de fichiers : elle vise à rendre toute restauration locale impossible, en détruisant les métadonnées qui permettraient à un outil forensique de reconstruire les données écrasées. Les fichiers sont également supprimés systématiquement sur l'ensemble des volumes affectés, couche par couche.

Aucune note de rançon, aucune instruction de paiement, aucune adresse de portefeuille crypto : le binaire ne contient aucun mécanisme d'extorsion. Pour les analystes, ce détail est signant — il caractérise une opération de sabotage et non une campagne cybercriminelle classique. L'attribution reste ouverte, Kaspersky ne pointant aucun groupe ni État à ce stade.

Pourquoi c'est important

La chronologie recoupe les tensions géopolitiques régionales : l'activité observée coïncide avec la période ayant précédé et suivi l'arrestation de Nicolás Maduro le 3 janvier 2026. Un wiper ciblé contre le secteur énergétique d'un pays précis, sans motif financier, rappelle les précédents WhisperGate et HermeticWiper déployés en Ukraine en 2022 dans le cadre d'opérations hybrides. Les équipes de réponse à incident doivent considérer Lotus comme un outil de guerre cyber, pas comme un malware opportuniste.

Pour les opérateurs d'infrastructures critiques hors Venezuela, l'intérêt opérationnel est direct : les IOC publiés par Kaspersky doivent être intégrés aux règles EDR, et la résilience des plans de reprise testée contre un scénario de destruction totale. Les sauvegardes hors-ligne immuables deviennent la seule parade efficace face à un wiper qui rend les systèmes compromis non restaurables localement. Couplée aux alertes en cours sur des ransomwares post-quantiques expérimentaux et à la multiplication des fuites en bourse cyber comme l'incident ANTS en France, la menace sur les OT et utilities monte d'un cran.

Ce qu'il faut retenir

• Lotus Wiper écrase les disques au niveau physique et détruit les mécanismes de restauration Windows : une compromission équivaut à une perte totale des systèmes non sauvegardés hors-ligne.
• Absence de demande de rançon : il s'agit d'un outil de sabotage, cohérent avec un scénario d'opération étatique ou para-étatique dans un contexte géopolitique tendu.
• Les opérateurs d'infrastructures critiques doivent tester leurs plans de reprise contre une destruction totale, et vérifier l'immuabilité de leurs sauvegardes hors-ligne.

Le mode opératoire de Lotus Wiper n'est pas sans rappeler une lignée d'outils de sabotage numérique déployés lors de crises géopolitiques majeures. En 2012, Shamoon avait détruit les données de 30 000 postes chez Saudi Aramco en pleine tension régionale, sans revendication crapuleuse. Dix ans plus tard, à la veille de l'invasion russe de l'Ukraine, WhisperGate et HermeticWiper avaient frappé des administrations et opérateurs ukrainiens selon un schéma quasi identique : écrasement du MBR, suppression des sauvegardes locales, et absence totale de demande de rançon — signature caractéristique d'une opération de déstabilisation plutôt que d'un gain financier. Lotus Wiper s'inscrit dans cette filiation technique, avec un raffinement supplémentaire : l'attaque directe des secteurs physiques via IOCTL contourne les protections au niveau du système de fichiers, un vecteur que les wipers de 2022 n'exploitaient pas systématiquement.

L'impact sectoriel potentiel est significatif. Le Venezuela dépend de PDVSA et de son réseau électrique national pour l'essentiel de ses revenus d'exportation et de sa stabilité intérieure ; toute perturbation durable des systèmes de supervision industrielle (SCADA) ou des systèmes de gestion administrative de ces opérateurs peut avoir des répercussions en cascade sur la production, la distribution d'électricité et la logistique pétrolière. Contrairement à un ransomware classique où la donnée reste théoriquement récupérable moyennant paiement, un wiper de ce type ne laisse aucune option de négociation : seule une stratégie de sauvegarde immuable et déconnectée (air-gapped ou write-once) permet une reprise d'activité. Les chercheurs de Kaspersky soulignent que la fenêtre entre la compilation du binaire (fin septembre 2025) et son dépôt public (mi-décembre) suggère une phase de reconnaissance et de déploiement ciblé de plusieurs mois, typique des opérations soutenues par un acteur étatique plutôt que d'une attaque opportuniste.

Ce contexte renforce l'hypothèse d'une opération à motivation géopolitique plutôt que d'une cybercriminalité financière. Les analyses en source ouverte n'ont pour l'instant permis d'attribuer Lotus Wiper à aucun groupe connu (ni APT russe, iranien ou nord-coréen habituellement associés à ce type d'outils), ce qui laisse ouverte la possibilité d'un acteur régional émergent ou d'un développement sur mesure pour cette seule campagne. Pour les opérateurs d'infrastructures critiques en Amérique latine, l'épisode illustre la nécessité d'intégrer les scénarios de destruction pure — et non uniquement de chiffrement — dans leurs plans de continuité d'activité.