Un pirate informatique de légende à la tête du bras cyber du renseignement militaire russe ?

C’est un nom qui semble sorti d’un roman de science-fiction de Frank Herbert, auteur de la saga Dune. Mais Sandworm – "ver de sable" – n’a rien d’un monstre fictif : il s’agit de l’un des groupes de pirates informatiques russes les plus redoutés, qui représente le principal bras cyber du GRU, le service russe de renseignement militaire, d’après Washington. 
Ce groupe de cybercriminels aux ordres de Moscou dispose d’un visage depuis mercredi 15 mars : Evgueni Serebriakov, en serait le nouveau patron, d’après le site Wired, qui affirme en avoir eu la confirmation par des responsables américains du renseignement. 

Sandworm, présent en Ukraine depuis 2013
Une promotion que Wired qualifie de rencontre entre l’un des cybercriminels russes "les plus téméraires et l’organisation de cyberpirates la plus agressive en Russie". Un cocktail qui, sur fond de guerre d’invasion en Ukraine, pourrait être de nature à  inquiéter Kiev. Ce groupe est "apparu sur nos radars dans cette région à partir de 2013, et y a maintenu une présence constante à travers de multiples attaques depuis lors", résume ce spécialiste. À l’époque, le lien entre Sandworm et le GRU n’avait pas encore été établi. 
Mais il était clair que ces pirates informatiques n’appartenaient pas au commun des cybercriminels qui agissent avant tout par intérêt financier. "Les cibles choisies avaient généralement un intérêt stratégique pour les États", souligne Benoît Grunemwald. 
Leurs principaux faits d’armes en Ukraine, avant l’offensive russe lancée en 2022, ont été de couper le courant dans une partie de Kiev en 2016, grâce au virus Industroyer, après avoir paralysé une partie des centrales électriques du pays – un an plus tôt, à l’aide d’un autre logiciel malveillant de leur confection.
"C’est clairement un groupe spécialisé dans le cyber-sabotage, qui excelle dans la destruction de données ou d’installations", précise John Fokker, chef des renseignements sur la menace du centre de recherches de Trellix, une entreprise américaine de cybersécurité.

Attaque contre la campagne de Macron en 2017

Même si Sandworm a un tropisme avéré pour l’Ukraine, le groupe a su aussi exporter son savoir-faire sur d’autres territoires. Il est aussi responsable de la propagation, en 2017, de NotPetya, l’un des rançongiciels les plus destructeurs de l’histoire. Ce dernier a coûté plus d’un milliard de dollars aux centaines de victimes à travers le monde, selon les autorités américaines. 
Ces cybercriminels se sont aussi illustrés sur la scène politique. Ils ont participé à la vaste opération russe de déstabilisation de l’élection présidentielle américaine de 2016 en subtilisant des documents sur les serveurs du parti démocrate. Un an plus tard, ces mêmes Russes ont été accusés d’avoir tenté de reproduire la manœuvre lors de l’élection française en visant les serveurs de l’équipe de campagne d’Emmanuel Macron.