Lotus Wiper : le nouveau wiper frappe le Venezuela

Ce qui s'est passé

Les équipes de recherche de Kaspersky ont révélé ce 23 avril l'existence de Lotus Wiper, un malware destructeur jusque-là non documenté, utilisé dans des attaques ciblées contre des opérateurs d'énergie et d'utilities au Venezuela. L'artefact a été compilé fin septembre 2025 et un échantillon lié à la campagne a été soumis à un dépôt public de malware à la mi-décembre depuis une adresse vénézuélienne, selon la télémétrie publique analysée par les chercheurs.

Techniquement, Lotus opère à bas niveau via des appels IOCTL directs aux disques. Il récupère la géométrie du support, efface les entrées du journal USN, supprime les points de restauration Windows, puis réécrit les secteurs physiques — pas seulement les volumes logiques. Cette approche dépasse la simple destruction de fichiers : elle vise à rendre toute restauration locale impossible, en détruisant les métadonnées qui permettraient à un outil forensique de reconstruire les données écrasées. Les fichiers sont également supprimés systématiquement sur l'ensemble des volumes affectés, couche par couche.

Aucune note de rançon, aucune instruction de paiement, aucune adresse de portefeuille crypto : le binaire ne contient aucun mécanisme d'extorsion. Pour les analystes, ce détail est signant — il caractérise une opération de sabotage et non une campagne cybercriminelle classique. L'attribution reste ouverte, Kaspersky ne pointant aucun groupe ni État à ce stade.

Pourquoi c'est important

La chronologie recoupe les tensions géopolitiques régionales : l'activité observée coïncide avec la période ayant précédé et suivi l'arrestation de Nicolás Maduro le 3 janvier 2026. Un wiper ciblé contre le secteur énergétique d'un pays précis, sans motif financier, rappelle les précédents WhisperGate et HermeticWiper déployés en Ukraine en 2022 dans le cadre d'opérations hybrides. Les équipes de réponse à incident doivent considérer Lotus comme un outil de guerre cyber, pas comme un malware opportuniste.

Pour les opérateurs d'infrastructures critiques hors Venezuela, l'intérêt opérationnel est direct : les IOC publiés par Kaspersky doivent être intégrés aux règles EDR, et la résilience des plans de reprise testée contre un scénario de destruction totale. Les sauvegardes hors-ligne immuables deviennent la seule parade efficace face à un wiper qui rend les systèmes compromis non restaurables localement. Couplée aux alertes en cours sur des ransomwares post-quantiques expérimentaux et à la multiplication des fuites en bourse cyber comme l'incident ANTS en France, la menace sur les OT et utilities monte d'un cran.

Ce qu'il faut retenir

• Lotus Wiper écrase les disques au niveau physique et détruit les mécanismes de restauration Windows : une compromission équivaut à une perte totale des systèmes non sauvegardés hors-ligne.
• Absence de demande de rançon : il s'agit d'un outil de sabotage, cohérent avec un scénario d'opération étatique ou para-étatique dans un contexte géopolitique tendu.
• Les opérateurs d'infrastructures critiques doivent tester leurs plans de reprise contre une destruction totale, et vérifier l'immuabilité de leurs sauvegardes hors-ligne.