La Corée du Nord serait-elle derrière le ransomware WCry ?

Immédiatement après que les premiers cas de prise en otage d’ordinateurs par le ransomware WCry ont été signalés en Europe, Europol a annoncé que son équipe EC3 serait lancée dans des investigations pour établir les responsabilités. L’attaque qui s’est finalement avérée être mondiale a mobilisé d’autres acteurs de la communauté de la cybersécurité autour de cette nécessité. Les résultats des recherches commencent à tomber. Neel Mehta, un chercheur en sécurité chez Google, vient de publier des empreintes digitales qui semblent lier le ransomware WCry au groupe nord-coréen Lazarus.


Neel a publié (cf. image ci-dessus) un tweet à ce propos. La firme de sécurité Kaspersky Lab, commentant ce tweet, a indiqué qu’il lie deux spécimens de malware : WannaCry dans sa version du mois de février et Cantopee, une création d’un groupe de hackers appelé Lazarus. Le groupe Lazarus est connu pour le catastrophique piratage de Sony en 2014 et celui de la banque centrale du Bangladesh l’an dernier par le biais du réseau SWIFT. Depuis lors, plusieurs firmes de recherche en sécurité ont établi le lien entre ce groupe de hackers et la Corée du Nord.

La firme de sécurité Kaspersky Lab a divulgué des sections du code de WannaCry et Cantopee (cf. image ci-dessous). Il en ressort que les développeurs de WannaCry (dans sa version de février) ont emprunté des sections de code à celle du malware Cantopee qui lui, date de 2015 (cf. encadrés en rouge). Kaspersky Lab précise toutefois que ces sections de code ont été retirées de la version de WannaCry du mois de mai, celle qui sévit dans le réseau du service national de santé de l’Angleterre et dans d’autres institutions de par le monde. La firme s’appuie sur cet aspect pour émettre l’hypothèse selon laquelle les sections de code de Cantopee ont pu être ajoutées dans la version de WannaCry du mois de février avec l’intention de diriger intentionnellement les regards sur le groupe Lazarus.


La firme prescrit donc de la prudence quant à l’émission de conclusions hâtives et appelle plutôt tous les chercheurs en sécurité à investiguer plus en profondeur sur cette brèche ouverte par les trouvailles de Neel Mehta, notamment sur la relation entre le code de la version de WannaCry du mois de février et le code du malware Cantopee. Costin Raiu, directeur de l’équipe de recherche et d’analyse de la firme Kaspersky Lab, s’est exprimé auprès de Forbes à propos des recherches qu’a menées Neel Mehta. Il les a qualifiées de capitales dans le processus de découverte des origines du ransomware WannaCry.

Source : SECURELIST, FORBES

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

WannaCrypt : Microsoft rappelle aux utilisateurs l'importance de mettre à jour leurs systèmes, et aux gouvernements leurs responsabilités

Ransomware WannaCrypt : Microsoft publie en urgence des MàJ de sécurité pour ses OS, XP reçoit ainsi son premier patch en trois ans