Une attaque massive de minage de crypto-monnaie a été lancée avant WannaCry
Et s'appuie également sur les outils dérobés à la NSA

Le , par Stéphane le calme, Chroniqueur Actualités
Vendredi dernier, un ransomware baptisé WannaCry a été massivement déployé en utilisant les outils de piratage de la NSA qui ont fuité pour se propager rapidement. EternalBlue, le nom de l’exploit utilisé, a été dévoilé pour la première fois par l’entité Shadow Brokers le 14 avril dernier et exploitait une faille dans le service Windows Server Message Block (SMB), sur lequel les ordinateurs Windows comptent pour partager des fichiers et des imprimantes sur un réseau local.

Cette attaque particulière a également utilisé l’exploit de la NSA appelée DoublePulsar pour installer le ransomware.

Cependant, des chercheurs ont déclaré que le même kit d'armes numériques a été utilisé dans un hack beaucoup plus tôt et peut-être à plus grande échelle qui visait à mettre les ordinateurs infectés dans un botnet pour miner une cryptomonnaie : « nous avons découvert une autre attaque à très grande échelle qui utilise à la fois EternalBlue et DoublePulsar pour installer le mineur cryptodynamique Adylkuzz. Les statistiques initiales suggèrent que cette attaque peut être plus importante que WannaCry : parce que cette attaque arrête les réseaux SMB pour empêcher d'autres infections par d'autres logiciels malveillants (y compris donc WannaCry) via cette même vulnérabilité, il a peut-être limité la propagation de l’infection WannaCry la semaine dernière », ont noté les chercheurs de Proofpoint.

Les symptômes de cette attaque incluent la perte d'accès aux ressources partagées de Windows et la dégradation des performances du PC et du serveur. « Plusieurs grandes entreprises ont signalé des problèmes de réseau ce matin qui ont été initialement attribués à la campagne WannaCry. Cependant, en raison de l'absence d'avis de rançon, nous pensons désormais que ces problèmes pourraient être associés à l'activité d’Adylkuzz. Toutefois, il convient de noter que la campagne d'Adylkuzz est en grande partie antérieure à l'attaque de WannaCry et a commencé au moins le 2 mai, voire dès le 24 avril. Cette attaque est en cours et, bien que moins flashy que WannaCry, elle est néanmoins assez importante et potentiellement assez perturbatrice ».

C’est durant des recherches sur la campagne WannaCry que Kafeine, un chercheur de Proofpoint, est tombé sur cette autre attaque : « Nous avons exposé une machine de laboratoire vulnérable à l'attaque EternalBlue. Alors que nous nous attendions à voir WannaCry, la machine de laboratoire a effectivement été infectée par un invité inattendu et moins bruyant : le mineur cryptodynamique Adylkuzz. Nous avons répété l'opération à plusieurs reprises avec le même résultat : 20 minutes après avoir exposé une machine vulnérable au Web ouvert, elle a été inscrite dans un botnet minier Adylkuzz ».

L'attaque est lancée à partir de plusieurs serveurs privés virtuels qui analysent massivement Internet à la recherche du port TCP 445 pour voir des cibles potentielles.

Lors de l'exploitation réussie via EternalBlue, les machines sont infectées par DoublePulsar. La porte dérobée DoublePulsar télécharge et exécute Adylkuzz depuis un autre hôte. Lorsqu’il est exécuté, Adylkuzz arrête d'abord toutes les instances potentielles de lui-même déjà en cours d'exécution et bloque la communication SMB pour éviter d'autres infections. Il détermine alors l'adresse IP publique de la victime et télécharge les instructions d'extraction, cryptominer et les outils de nettoyage.

« Il semble qu’à un moment donné, il existe plusieurs serveurs de commande et de contrôle Adylkuzz (C&C) hébergeant les binaires cryptominer et les instructions minières », précise Proofpoint.

Source : Proofpoint

Voir aussi :

WannaCrypt : Microsoft rappelle aux utilisateurs l'importance de mettre à jour leurs systèmes et aux gouvernements leurs responsabilités


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de JML19 JML19 - Expert éminent sénior https://www.developpez.com
le 18/05/2017 à 16:37
Bonjour

Les outils de piratage créés pour la NSA sont une source inépuisable pour les informaticiens malveillants.
Avatar de shaun_the_sheep shaun_the_sheep - Membre éprouvé https://www.developpez.com
le 19/05/2017 à 8:47
Bonjour

La question est peut être idiote mais comment identifie t'on la présence de ce botnet minier Adylkuzz sur un poste windows ?
Merci d'avance
Avatar de Marco46 Marco46 - Expert éminent https://www.developpez.com
le 19/05/2017 à 12:02
Le plus simple je pense c'est de check les logs de ton réseau. Pour utiliser la blockchain le botnet doit faire pas mal de requêtes.
Avatar de Bigb Bigb - Membre actif https://www.developpez.com
le 19/05/2017 à 15:03
J'imagine que l'on peut remonter aux personnes exploitant ces failles via les informations de minage non ?
Avatar de Hikimichi Hikimichi - Membre à l'essai https://www.developpez.com
le 19/05/2017 à 17:04
Citation Envoyé par Bigb Voir le message
J'imagine que l'on peut remonter aux personnes exploitant ces failles via les informations de minage non ?
La principale caractéristique des crypto-monnaies est qu'elles peuvent garantir un anonymat assez conséquent . C'est pas pour rien qu'elle est le nerf du DW .
Avatar de Marco46 Marco46 - Expert éminent https://www.developpez.com
le 19/05/2017 à 17:13
Au mieux tu remonteras sur la clef publique auto-signée. Autant dire sur rien.
Offres d'emploi IT
recherche associé compétences système embarqué/M2M
INTELIGIA - Ile de France - Paris (75000)
Développeur informatique ERP h/f
NEXTGEN RH - Aquitaine - Bordeaux (33000)
Développeur Front-End (H/F)
TELEMAQUE EDITION - Languedoc Roussillon - Montpellier (34080)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil