WannaCrypt : Microsoft rappelle aux utilisateurs l'importance de mettre à jour leurs systèmes
Et aux gouvernements leurs responsabilités

Le , par Stéphane le calme, Chroniqueur Actualités
En commençant d'abord au Royaume-Uni et en Espagne, le logiciel malveillant baptisé WannaCrypt s'est rapidement répandu dans les systèmes d’informations de nombreux autres pays, empêchant les utilisateurs d’avoir accès à leurs données à moins qu’ils n’aient payé une rançon en bitcoins de 300 dollars.

Pour faciliter sa diffusion, les pirates se sont appuyés sur un exploit, au nom de code EternalBlue, utilisé par la NSA qui a été diffusé récemment et qui s’appuie sur une faille dans le service Windows Server Message Block (SMB), sur lequel les ordinateurs Windows comptent pour partager des fichiers et des imprimantes sur un réseau local.

Microsoft assure avoir colmaté cette faille le 14 mars dernier avec une mise à jour de sécurité. L’Américain note que bien que ces systèmes et ordinateurs Windows plus récents protégés aient permis à Windows Update d'appliquer cette dernière mise à jour, nombreux sont les ordinateurs qui ne l’ont pas appliquée à l'échelle mondiale. En conséquence, les hôpitaux, les entreprises, les gouvernements et les ordinateurs dans les maisons ont été touchés.

Face à la propagation de l’attaque, Microsoft a dû réagir et a fourni à Windows XP son premier correctif de sécurité en trois ans. Windows 8 et Windows Server 2003 ont eux aussi eu droit à un correctif de sécurité.

Brad Smith, qui est le juriste en chef de Microsoft, n’a pas manqué de souligner que cette attaque démontre dans quelle mesure la cybersécurité est devenue une responsabilité partagée entre les entreprises technologiques et les clients : « Le fait que tant d'ordinateurs sont restés vulnérables deux mois après la publication d'un patch illustre cet aspect. À mesure que les cybercriminels deviennent plus sophistiqués, il n'y a aucun moyen pour les clients de se protéger contre les menaces à moins qu'ils ne mettent à jour leurs systèmes. Sinon, ils luttent littéralement contre les problèmes du présent avec des outils du passé. Cette attaque est un rappel puissant que les bases de la technologie de l'information comme garder les ordinateurs à jour et patchés sont une responsabilité élevée pour tous ».

Il en a également appelé à la responsabilité de l’État : « Cette attaque fournit un autre exemple de la raison pour laquelle le stockage des vulnérabilités par les gouvernements est un problème. Il s'agit d'un modèle émergent en 2017. Nous avons vu des vulnérabilités stockées par la CIA apparaître sur WikiLeaks, et maintenant cette vulnérabilité volée de la NSA a touché des clients à travers le monde. À plusieurs reprises, les exploits entre les mains des gouvernements se sont répandus dans le domaine public et ont causé des dégâts répandus. Un scénario équivalent avec des armes conventionnelles serait l'armée américaine dont certains de ses missiles Tomahawk sont volés. Et cette attaque la plus récente représente un lien complètement involontaire, mais déconcertant entre les deux formes les plus sérieuses de menaces de la cybersécurité dans le monde d'aujourd'hui : l'action de l'État-nation et l'action criminelle organisée. »

Pour lui, les gouvernements du monde devraient considérer cette attaque comme un réveil : ils devraient adopter une approche différente et adhérer dans le cyberespace aux mêmes règles appliquées aux armes dans le monde physique. « Nous avons besoin que les gouvernements envisagent les dommages causés aux civils par l'accumulation de ces vulnérabilités et l'utilisation de ces exploits. C'est une des raisons pour lesquelles nous avons appelé en février une nouvelle “Convention Numérique de Genève” qui régit ces problèmes, y compris une nouvelle exigence pour les gouvernements de signaler les vulnérabilités aux vendeurs plutôt que de les stocker, de les vendre ou de les exploiter. Et c'est pourquoi nous avons promis notre soutien pour défendre chaque client partout dans le monde face aux cyberattaques, indépendamment de leur nationalité. Ce week-end, que ce soit à Londres, à New York, à Moscou, à Delhi, à Sao Paulo ou à Pékin, nous mettons ce principe en action et en travaillant avec des clients à travers le monde ».

Source : Microsoft


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 15/05/2017 à 19:22
Pour info je suis expert en cybersécurité. Windows XP à bon dos. Le problème c'est que sur le NET n'importe quel individu sans connaissances pointues sur le sujet peut trouver le moyen de lancer une attaque d'envergure vers les sites insuffisamment protégés. Les politiques ne connaissent rien sur le sujet , les chefs d'entreprises non plus et que dire des élus locaux ou territoriaux que je côtoie à longueur d'année et qui me prennent pour un extra-terrestre....
6 millions de chômeurs et on n'est pas fichu de former quelques milliers d'ingénieurs en cybersécurité.. Cherchez l'erreur . Mettre en cause les responsables informatiques, c'est mettre en cause les personnes qui les ont embauchés. Soit on est compétent , soit on ne l'est pas. Et on abouti à ce genre de résultat.

A force de vendre du troué pour du safe et de passer la sécurité au dernier plan...

Excellente nouvelle que la propagation soit circonscrite d'une part.
D'autre part, j'espère que cet évènement fera prendre conscience, non seulement aux Direction mais aussi et surtout en haut lieu, plus que le botnet Mirai, de la nécessité d'une action mieux coordonnée sur le sujet de la sécurité. Le G7 s'est réuni ce jour samedi 13 mai 2017 à ce sujet.
Espérons qu'ils comprendront et trouveront un accord sur les portes dérobées dans les logiciels. Je pense notamment à l'algoritme de chiffrement dans le cadre des affaires de terrorisme et/ou de criminalité : une porte dérobée serait une hérésie en terme de sécurité et inutile pour l'objectif qu'il permettrait intuitivement d'atteindre.
Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 15/05/2017 à 19:38
@marsupial

tu as cité quel post au juste ?
Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 15/05/2017 à 19:46
@marco46

Il s'agit des réactions à chaud de 2 types provenant d'un autre site.

Comme quoi, je pense qu'on est tous d'accord.
Avatar de Jipété Jipété - Expert éminent https://www.developpez.com
le 15/05/2017 à 20:10
Citation Envoyé par Stéphane le calme Voir le message
[...] nous avons appelé en février une nouvelle “ Convention Numérique de Genève” qui régit ces problèmes, y compris une nouvelle exigence pour les gouvernements de signaler les vulnérabilités aux vendeurs plutôt que de les stocker, de les vendre ou de les exploiter.
J'me marre... Le jour où il va y avoir une belle faille facilement exploitable dans le machin qui pilote le frigo connecté de Mme Michu et dont le code tourne en ROM, ils feront comment, les vendeurs ?
Sans compter que ça leur coûterait du pognon et faut pas déconner, hein !

Pour en revenir aux toubibs et à toutes ces professions qui utilisent des machines, je peux vous dire pour l'avoir vu qu'une toubib analysait le scan d'un patient c'était marrant on aurait dit du 'toshop la meuf elle posait des points à certains endroits de l'image ça lui sortait une infobulle avec le diamètre mesuré, je vous dis pas les calculs dessous, mais une chose est sure, la personne qui pilotait cette machine plus ou moins en libre-sevice dans une salle de consultation n'avait aucune espèce d'idée de l'OS ("c'est quoi un OS" ? -- Nous on se pose même pas la question, mais Mme Michu ?) qui permettait à son tas de ferraille et d'électronique de lui afficher les scans du patient, et c'est tout ce qu'elle voulait.
C'est si difficile que ça à comprendre ?

On a foutu des ordis partout pour faire du bizness mais personne n'est formé pour les utiliser, donc on les maquille, on les déguise (qui a dit "Apple" ? ) avec des interfaces qui masquent la mécanique de base, pour ne pas effrayer le client.

Et aujourd'hui on en est là, et ça ne va qu'empirer...

Parce que mon garagiste aussi il a un computer !
Ben non en fait : il a une machine qui lui permet de sortir ma facture en récapitulant ce qu'il a fait sur ma caisse, le temps qu'il y a passé toussa toussa, très pratique je le reconnais, mais pour lui c'est juste une "facturière", point barre !
Et des machines comme ça il y en a partout ! Nous, on est juste une toute petite minorité.
Avatar de SkyZoThreaD SkyZoThreaD - Membre expérimenté https://www.developpez.com
le 15/05/2017 à 20:49
Jipété qui dit "toussa toussa".... tout fout le camp !
Avatar de disedorgue disedorgue - Expert éminent https://www.developpez.com
le 15/05/2017 à 21:25
Alors, là, bravo, on se sent visé par mes propos, et on me dit d'arrêter les champis car ce n'est pas ce qui a été dit...
cherchez l'erreur

Et, là, je viens d'apprendre, qu'il est de coutume de continuer à produire des OS ou autre produit de M... puisque le but c'est de nous obliger à faire des mise à jour pratiquement hebdomadaire et même de s'arranger à nous faire changer de matériel car trop vieux.

Donc, faudra dire à quelqu'un qui veut faire medecine, de soit la faire à l'ancienne, tout sur papier, soit d'avoir un informaticien à plein temps pour gérer au minimum ces trois serveurs (backup, machine avec dernière mise à jour, machine avec dernière mise à jour fonctionnel avec ces applis).

Mais si tout le monde trouve ça normal, d'avoir un antivirus sur sa machine qui doit se mettre à jour tout le temps ainsi que les OS et applis (linux,windows,android,....), c'est que j'ai rien compris à l'informatique et dans ce cas, je préfère passer la main.
Avatar de Uther Uther - Expert éminent https://www.developpez.com
le 15/05/2017 à 21:33
Citation Envoyé par Jipété Voir le message
Et quand je vous vois parler de mettre les machines, les parcs, à jour, tout ça parce que les fournisseurs de ces machines les font évoluer exactement comme s'ils s'adressaient à des geeks qui changent de matos tous les 6 mois, ben non, c'est pas comme ça dans le monde des utilisateurs professionnels (je pense aussi à tous ces gens qu'on a obligé à s'équiper, toubibs, infirmiers, etc. Je reste dans le médical mais c'est partout pareil.)
Sauf que c'est quand même un problème important et que si on ne peut pas rendre le docteur responsable de tout, un outil sensible et connecté se doit d'avoir un système de mise à jour automatique et silencieuse efficace.

Citation Envoyé par Jipété Voir le message
Ben ça devrait être pareil en informatique.
Qu'on nous fasse des OS sans failles et le problème sera réglé.
Sauf que là c'est très mal barré. Je suis le premier à rêver que l'on revoie les OS pour PC de font en comble en surveillant la sécurité aussi sérieusement que dans l'aéronautique, mais pour en arriver là il faudrait des dizaines d'années de travail et un retour en arrière colossal en terme de facilités d'utilisation.
On n'est juste pas prêt à accepter les conséquences de ce qu'impliquerait une réelle sécurisation des micro-ordinateurs.

Citation Envoyé par Jipété Voir le message
Pour faire court et simple : le cardio voit son ordi exactement comme le maçon voit sa perceuse : un outil pour faire des choses pour lesquelles l'outil a été conçu, un point c'est tout.
Le maçon ne fait pas de mise à jour de sécurité de son outil ? Le toubib non plus.
Et bien si : quand les spécifications de l'outil l'exigent, le professionnel fait ou fait faire les opérations de maintenance prévue.
Il y a bien un entretien obligatoire à faire sur pas mal de matériel professionnel, même les particuliers doivent faire l'entretien de leur véhicules, chaudières, ... avec parfois même un contrôle technique obligatoire.
Avatar de NSKis NSKis - En attente de confirmation mail https://www.developpez.com
le 15/05/2017 à 21:48
Mais que de bruit pour somme toute un non-évènement...

Quand on se met à connecter n'importe quoi à internet, du feu de signalisation d'un carrefour à un scanner médical en passant par des centrales hydroélectriques (je ne parle pas de centrale nucléaire pour ne pas faire peur aux gens), il ne faut plus s'étonner de rien!!!

N'importe quel actif en informatique sait qu'il est impossible d'assurer une sécurité à 100%, alors les grands débats sur "nanosoft a fait ci ou fait ca", cela n'a juste aucun intérêt!!!

La vraie question est de savoir si il est judicieux de connecter des systèmes critiques à internet

PS: Ce genre d'évènement a au moins un avantage: Les clowns "pseudo-expert en cybersécurité" qui interviennent à la demande des médias... C'est le rire assuré (jaune pour ceux qui auraient la mauvaise idée de croire à leurs discours)
Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 16/05/2017 à 1:51
Citation Envoyé par disedorgue Voir le message

Donc, faudra dire à quelqu'un qui veut faire medecine, de soit la faire à l'ancienne, tout sur papier, soit d'avoir un informaticien à plein temps pour gérer au minimum ces trois serveurs (backup, machine avec dernière mise à jour, machine avec dernière mise à jour fonctionnel avec ces applis).
C'est la seule alternative que tu vois ? Tout ou rien ? Payer un mec pour configurer la mise à jour automatique de ton OS c'est quoi, une demi journée à facturer ?

On parle de failles sur des OS vieux de 10 ans. C'est juste la préhistoire 10 ans, c'est le tout début du web 2.0.

Citation Envoyé par disedorgue Voir le message

Mais si tout le monde trouve ça normal, d'avoir un antivirus sur sa machine qui doit se mettre à jour tout le temps ainsi que les OS et applis (linux,windows,android,....), c'est que j'ai rien compris à l'informatique et dans ce cas, je préfère passer la main.
Si tu trouves anormal de mettre à jour tes logiciels, alors oui tu ne comprends rien à l'informatique.
Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 16/05/2017 à 1:58
Citation Envoyé par Jipété Voir le message

Pour en revenir aux toubibs et à toutes ces professions qui utilisent des machines, je peux vous dire pour l'avoir vu qu'une toubib analysait le scan d'un patient c'était marrant on aurait dit du 'toshop la meuf elle posait des points à certains endroits de l'image ça lui sortait une infobulle avec le diamètre mesuré, je vous dis pas les calculs dessous, mais une chose est sure, la personne qui pilotait cette machine plus ou moins en libre-sevice dans une salle de consultation n'avait aucune espèce d'idée de l'OS ("c'est quoi un OS" ? -- Nous on se pose même pas la question, mais Mme Michu ?) qui permettait à son tas de ferraille et d'électronique de lui afficher les scans du patient, et c'est tout ce qu'elle voulait.
C'est si difficile que ça à comprendre ?
Mais bordel qui te parle d'imposer au docteur bidule de gérer son informatique tout seul ? Quand t'as une appendicite ton premier réflexe c'est de t'ouvrir le bide avec un couteau de cuisine ? Ya un moment où il faut arrêter la mauvaise foi, là c'est carrément pathologique.

Citation Envoyé par Jipété Voir le message

On a foutu des ordis partout pour faire du bizness mais personne n'est formé pour les utiliser, donc on les maquille, on les déguise (qui a dit "Apple" ? ) avec des interfaces qui masquent la mécanique de base, pour ne pas effrayer le client.
On a foutu des ordis partout parce que ça fait gagner un temps fou. Voilà pourquoi. Et oui c'est un business et alors ? Faut bien qu'on gagne nos vies non ? Administrer un PC c'est un métier, ça s'appelle adminsys. C'est pas surnaturel de payer l'entreprise qui t'installe ton SI pour gérer la maintenance. C'est même complètement banal. Ces professions utilisent des progiciels généralement vendus par des PME locales qui fournissent ce genre de prestations. Tu vas pas me faire avaler que c'est trop cher de payer 500 boules tous les 5 ans pour avoir un mec qui te configure correctement ton SI. Et si tu veux une assistance ya des contrats de maintenance qui vont avec.

Les utilisateurs n'ont pas à être formés à l'admin sys, ils ont à être formé sur les risques basiques, s'assurer auprès d'un professionnel que ton système est correctement configuré, ne pas ouvrir de pièces jointes ou cliquer sur n'importe quel lien dans les mails, etc ... C'est pas le bout du monde.
Contacter le responsable de la rubrique Accueil