IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Une attaque massive de minage de cryptomonnaies a été lancée avant WannaCry
Et s'appuie également sur les outils dérobés à la NSA

Le , par Stéphane le calme

384PARTAGES

13  0 
Vendredi dernier, un ransomware baptisé WannaCry a été massivement déployé en utilisant les outils de piratage de la NSA qui ont fuité pour se propager rapidement. EternalBlue, le nom de l’exploit utilisé, a été dévoilé pour la première fois par l’entité Shadow Brokers le 14 avril dernier et exploitait une faille dans le service Windows Server Message Block (SMB), sur lequel les ordinateurs Windows comptent pour partager des fichiers et des imprimantes sur un réseau local.

Cette attaque particulière a également utilisé l’exploit de la NSA appelée DoublePulsar pour installer le ransomware.

Cependant, des chercheurs ont déclaré que le même kit d'armes numériques a été utilisé dans un hack beaucoup plus tôt et peut-être à plus grande échelle qui visait à mettre les ordinateurs infectés dans un botnet pour miner une cryptomonnaie : « nous avons découvert une autre attaque à très grande échelle qui utilise à la fois EternalBlue et DoublePulsar pour installer le mineur cryptodynamique Adylkuzz. Les statistiques initiales suggèrent que cette attaque peut être plus importante que WannaCry : parce que cette attaque arrête les réseaux SMB pour empêcher d'autres infections par d'autres logiciels malveillants (y compris donc WannaCry) via cette même vulnérabilité, il a peut-être limité la propagation de l’infection WannaCry la semaine dernière », ont noté les chercheurs de Proofpoint.

Les symptômes de cette attaque incluent la perte d'accès aux ressources partagées de Windows et la dégradation des performances du PC et du serveur. « Plusieurs grandes entreprises ont signalé des problèmes de réseau ce matin qui ont été initialement attribués à la campagne WannaCry. Cependant, en raison de l'absence d'avis de rançon, nous pensons désormais que ces problèmes pourraient être associés à l'activité d’Adylkuzz. Toutefois, il convient de noter que la campagne d'Adylkuzz est en grande partie antérieure à l'attaque de WannaCry et a commencé au moins le 2 mai, voire dès le 24 avril. Cette attaque est en cours et, bien que moins flashy que WannaCry, elle est néanmoins assez importante et potentiellement assez perturbatrice ».

C’est durant des recherches sur la campagne WannaCry que Kafeine, un chercheur de Proofpoint, est tombé sur cette autre attaque : « Nous avons exposé une machine de laboratoire vulnérable à l'attaque EternalBlue. Alors que nous nous attendions à voir WannaCry, la machine de laboratoire a effectivement été infectée par un invité inattendu et moins bruyant : le mineur cryptodynamique Adylkuzz. Nous avons répété l'opération à plusieurs reprises avec le même résultat : 20 minutes après avoir exposé une machine vulnérable au Web ouvert, elle a été inscrite dans un botnet minier Adylkuzz ».

L'attaque est lancée à partir de plusieurs serveurs privés virtuels qui analysent massivement Internet à la recherche du port TCP 445 pour voir des cibles potentielles.

Lors de l'exploitation réussie via EternalBlue, les machines sont infectées par DoublePulsar. La porte dérobée DoublePulsar télécharge et exécute Adylkuzz depuis un autre hôte. Lorsqu’il est exécuté, Adylkuzz arrête d'abord toutes les instances potentielles de lui-même déjà en cours d'exécution et bloque la communication SMB pour éviter d'autres infections. Il détermine alors l'adresse IP publique de la victime et télécharge les instructions d'extraction, cryptominer et les outils de nettoyage.

« Il semble qu’à un moment donné, il existe plusieurs serveurs de commande et de contrôle Adylkuzz (C&C) hébergeant les binaires cryptominer et les instructions minières », précise Proofpoint.

Source : Proofpoint

Voir aussi :

WannaCrypt : Microsoft rappelle aux utilisateurs l'importance de mettre à jour leurs systèmes et aux gouvernements leurs responsabilités

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de JML19
Expert éminent sénior https://www.developpez.com
Le 18/05/2017 à 16:37
Bonjour

Les outils de piratage créés pour la NSA sont une source inépuisable pour les informaticiens malveillants.
0  0 
Avatar de shaun_the_sheep
Membre éprouvé https://www.developpez.com
Le 19/05/2017 à 8:47
Bonjour

La question est peut être idiote mais comment identifie t'on la présence de ce botnet minier Adylkuzz sur un poste windows ?
Merci d'avance
0  0 
Avatar de Marco46
Expert éminent sénior https://www.developpez.com
Le 19/05/2017 à 12:02
Le plus simple je pense c'est de check les logs de ton réseau. Pour utiliser la blockchain le botnet doit faire pas mal de requêtes.
0  0 
Avatar de Bigb
Membre averti https://www.developpez.com
Le 19/05/2017 à 15:03
J'imagine que l'on peut remonter aux personnes exploitant ces failles via les informations de minage non ?
0  0 
Avatar de Hikimichi
Membre à l'essai https://www.developpez.com
Le 19/05/2017 à 17:04
Citation Envoyé par Bigb Voir le message
J'imagine que l'on peut remonter aux personnes exploitant ces failles via les informations de minage non ?
La principale caractéristique des crypto-monnaies est qu'elles peuvent garantir un anonymat assez conséquent . C'est pas pour rien qu'elle est le nerf du DW .
0  0 
Avatar de Marco46
Expert éminent sénior https://www.developpez.com
Le 19/05/2017 à 17:13
Au mieux tu remonteras sur la clef publique auto-signée. Autant dire sur rien.
0  0