WannaCry : 386 échantillons du logiciel malveillant ont été découverts
Par les chercheurs en sécurité de Trustlook

63PARTAGES

10  0 
Les chercheurs en sécurité de Trustlook ont annoncé avoir trouvé quelques centaines d’échantillons du logiciel malveillant WannaCry. Malgré le fait que ce logiciel n’a commencé son activité, armé d’outils de la NSA qui ont fuité sur internet, qu’il y a un peu plus d’une semaine, les victimes se comptent déjà par centaines de milliers et sont réparties sur une centaine de pays.

La vitesse de propagation était telle que Microsoft s’est décidée à sortir un correctif même pour ses systèmes qu’il ne prenait plus en charge, parmi lesquels Windows XP.

Le logiciel malveillant se sert de l'exploit EternalBlue, qui a été publié avec d’autres exploits de la NSA par les Shadow Brokers. Cet exploit profite d’une vulnérabilité de sécurité qui est désormais corrigée (depuis le mois de mars pour les versions prises en charge) dans le protocole Windows Server Message Block (SMB). Puis intervient un autre outil de la NSA, baptisé DoublePulsar, qui a facilité sa propagation.

Il est possible que de nombreux échantillons de logiciels malveillants aient émergé en raison de l'empaquetage des kits d’exploitation actuellement disponibles qui ont été mis à jour pour y intégrer WannaCrys. Les premiers exemples de WannaCry, antérieurs à la version utilisée dans les attaques récentes qui se propagent comme un ver, remontent à février de cette année.

Une activité amorcée en février

C’est en tout cas ce que laisse penser Sean Whalen de VirusTotal Intelligence : « Lors de la collecte d'échantillons de WannaCry, j'ai trouvé un échantillon antérieur à la version de vers. L'échantillon a été compilé le 9 février et téléchargé sur VirusTotal le 10 février. Bien que les timestamps de compilation puissent être falsifiés, la proximité de la date de téléchargement suggère que l'horodatage de la compilation est légitime ». Même son de cloche du côté d’Avast qui a déclaré que le ransomware a commencé à être actif durant le mois de mars.

Malgré le fait que les victimes aient été très nombreuses et que même de grandes institutions comme l’opérateur de télécommunications Telefónica n’ont pas été épargnées, les rançons versées ont été relativement faibles : durant l’écriture de ces lignes, Elliptic indique que la somme se rapproche des 110 000 dollars. Ce qui peut suggérer que la crise a relativement pu être bien gérée.

L’heure des leçons ?

Mais cette attaque a également été le moment de tirer des sonnettes d’alarme. La firme de sécurité Malwarebytes a écrit dans un nouveau rapport que, compte tenu de l'absence d'autres preuves, c'est la seule manière dont WannaCry aurait pu se propager : les attaquants ont balayé Internet à la recherche de ports SMB vulnérables.

« Sans preuve autrement définitive du vecteur d'infection via des captures ou des journaux fournis par l'utilisateur, et sur la base des rapports des utilisateurs indiquant que les machines ont été infectées lorsque les employés sont arrivés au travail, nous devons conclure que les attaquants ont lancé une opération de recherche de vulnérabilité des ports SMB publics et, une fois localisés, ont utilisé des exploits SMB nouvellement disponibles pour déployer des logiciels malveillants et se propager vers d'autres machines vulnérables au sein des réseaux connectés », a écrit l’analyste senior de logiciels malveillants, Adam McNeil.

« Développer une campagne bien conçue pour identifier quelques milliers de machines vulnérables en si peu de temps permettrait la distribution répandue de ce malware sur l'échelle et la vitesse que nous avons vues avec cette variante particulière de ransomware », a-t-il continué.

McNeil a affirmé qu’il est d'accord avec Microsoft lorsque l’entreprise estime que la NSA et d'autres agences de renseignement doivent cesser de stocker des exploits et des failles qui peuvent être utilisés comme des armes numériques et tomber entre n’importe quelles mains. L'incident WannaCry n'est qu'un exemple qui vient illustrer ce qui peut arriver lorsque les failles zero day ne sont pas signalées aux entreprises concernées et conservées pour être exploitées par le gouvernement.

La convention numérique de Genève, une nécessité ?

Pour parer à ce genre d’éventualité, Microsoft avait proposé aux gouvernements du monde entier la création de l’équivalent numérique de la convention de Genève : « De même que la quatrième Convention de Genève protège depuis longtemps les civils en temps de guerre, nous avons besoin d'une Convention de Genève numérique qui engagera les gouvernements à protéger les civils contre les attaques des États-nations en temps de paix. De même que la quatrième Convention de Genève a reconnu que la protection des civils exigeait la participation active de la Croix-Rouge, la protection contre les cyberattaques de l'État-nation nécessite l'assistance active des entreprises technologiques. Le secteur de la technologie joue un rôle unique en tant que premiers intervenants de l'Internet, et nous devons donc nous engager dans une action collective qui rendra l'internet plus sûr, affirmant un rôle de Suisse numérique neutre qui assiste les clients partout et conserve la confiance du monde », a estimé Brad Smith, le président et directeur juridique de Microsoft.

Source : TrustLook, MalwareBytes

Voir aussi :

Microsoft propose aux gouvernements du monde entier la création d'une « convention de Genève numérique », que pensez-vous de ce projet ?

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de RyzenOC
Inactif https://www.developpez.com
Le 23/05/2017 à 13:34
J'ai pas compris comment ce virus s'installe sur une machine.

Sans le savoir, les leçons à retiré c'est :
ne pas ouvrir n'importe quels fichiers (.exe...) surtout avec les droits admin
ne pas ouvrir de mails suspects
avoir un systèmes et des logiciels à jours
ne pas utiliser flash et les applets java

on en reviens aux bases, la chaise et le clavier.

un ransomware c'est pas trop grave pour nous autres, au pire il y'a destructions de données, j'aurais beaucoup plus peur pour ma pomme le jour ou se sera du vol de données d'entreprise comme Facebook, ou Google, un pirate pouvant savoir tous sur ta vie, avoir toutes les conversations de ton tel, de tes mails... les revendre à bon prix

le ransomware dans le pire des cas tu perd pas grand choses, tu perd 4-5 jours de travail max, car évidement les entreprises font des sauvegardes périodique, il suffit de formater, de restaurer les données et on repart sur de nouvelle base, bref beaucoup de bruit pour rien.... comment personne ne fais de sauvegarde
la prochaine fois le patron auras qu'a augmenter le budget informatique de la boite bienfait.
Avatar de marsupial
Membre expert https://www.developpez.com
Le 23/05/2017 à 13:44
Ouaip.

Et ce que les politiques ne saisissent pas, l introduction de backdoors dans le chiffrement = WannaCry exposant botnet mirai; i.e, internet tombe et tous les PC sont bloques.

Un armageddon anarchiste sur le Net.

On les laisse tout reconstruire ?
Avatar de RyzenOC
Inactif https://www.developpez.com
Le 23/05/2017 à 13:49
Citation Envoyé par marsupial Voir le message
Ouaip.

Et ce que les politiques ne saisissent pas, l introduction de backdoors dans le chiffrement = WannaCry exposant botnet mirai; i.e, internet tombe et tous les PC sont bloques.

Un armageddon anarchiste sur le Net.

On les laisse tout reconstruire ?
C'est même mieux que sa, moi j'attends un virus de ce genre sur tous les appareils connectées.
J'ai hâte que nos frigo et lave linge connectées choppe un virus et crée une belle attaque DDOS sur les big brother.

Mr Michu tellement ignorant ne fera jamais aucune manip pour arrêter le massacre, bref tous vas s’effondrer avec de belles erreurs 500 serveur surchargées

En voulant nous connectées à outrances, ils aurons construits leurs propre tombe.
Avatar de Patrick Ruiz
Chroniqueur Actualités https://www.developpez.com
Le 23/05/2017 à 15:42
Il est fort probable que le groupe Lazarus soit derrière le ransomware WannaCry
D’après la firme de sécurité Symantec

Il y a déjà une semaine que Neel Mehta, chercheur en sécurité chez Google a fait le rapprochement entre le code du ransomware WannaCry (dans sa version du mois de février) et celui du malware Cantopee. Les similitudes dans le code avaient permis de lier un groupe nord-coréen nommé Lazarus au ransomware WannaCry. Il subsistait cependant un doute, le ransomware WannaCry dans sa version de mai ne portait pas les signatures retrouvées dans celle du mois de février, ce qui laissait penser à une manœuvre de diversion.

La firme de sécurité Symantec a aussi mené des investigations sur les similitudes entre le ransomware WannaCry et le malware Cantopee. Symantec se veut clair, les versions de WannaCry de février et de mai sont globalement identiques, avec cependant quelques changements. La version de mai diffèrerait de celle de février essentiellement par l’utilisation de l’exploit EternalBlue qui lui a conféré son caractère d’arme de destruction de masse. Symantec a clairement établi le lien entre les versions de WannaCry du mois de février et celle de mai en évoquant le fait que les mots de passe des fichiers .Zip contenus dans l’injecteur de WannaCry sont similaires dans les deux versions. Il s’agit des chaînes de caractères : wcry@123, wcry@2016 et WNcry@2ol7.

Les similitudes entre la version de WannaCry de février et le malware Cantopee ayant été établies, ce nouvel élément de Symantec (le lien entre les versions de WannaCry de février et de mai) augmente la probabilité que le groupe Lazarus soit l’auteur du ransomware WannaCry. C’est d’ailleurs ce que semble affirmer Vikram Thakur, directeur technique chez Symantec, lorsqu’il s’exprime au micro de Reuters en disant que « nous sommes sûrs du fait qu’il s’agit du travail de personnes liées au groupe Lazarus puisqu’elles devaient avoir accès au code source. » Et d’ajouter que « nous ne pensons pas qu’il s’agisse d’une opération pilotée par un gouvernement. »

Au sujet d’un possible commandite du gouvernement nord-coréen, Vikram Thakur a ajouté : « le fait que les hackers aient demandé des rançons avant que les fichiers ne soient déchiffrés prouve qu’ils ne travaillent pas pour le gouvernement nord-coréen. »

Sources : Symantec, Reuters

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Le ransomware WCry prend en otage des milliers d'ordinateurs dans une attaque d'envergure mondiale, des rançons de 300 $ minimum sont exigées
Ransomware WannaCrypt : Microsoft publie en urgence des MàJ de sécurité pour ses OS, XP reçoit ainsi son premier patch en trois ans
WannaCrypt : Microsoft rappelle aux utilisateurs l'importance de mettre à jour leurs systèmes, et aux gouvernements leurs responsabilités
La Corée du Nord serait-elle derrière le ransomware WCry ? Des indices dans le code le suggèrent
Avatar de chrtophe
Responsable Systèmes https://www.developpez.com
Le 23/05/2017 à 20:21
J'ai hâte que nos frigo et lave linge connectées choppe un virus et crée une belle attaque DDOS sur les big brother.
Tu rigoleras moins quand tu devras jeter son contenu car programmé pour s’arrêter tout seul, qu'il te commande des courses sans ton aval, et que ton lave-linge provoquera un dégâts des eaux suite à reprogrammation.

Connecter un frigo ou un lave-linge à Internet, non mais allo quoi ...
Avatar de BufferBob
Expert éminent https://www.developpez.com
Le 23/05/2017 à 20:37
Citation Envoyé par chrtophe Voir le message
Connecter un frigo ou un lave-linge à Internet, non mais allo quoi ...
ou pire encore, imagine un téléphone connecté à internet, et qu'en plus on se baladerait avec en permanence, "LOL", aucune chance que ça arrive un jour heureusement...
Avatar de Florian_PB
Membre averti https://www.developpez.com
Le 24/05/2017 à 15:17
Citation Envoyé par Patrick Ruiz Voir le message
Au sujet d’un possible commandite du gouvernement nord-coréen, Vikram Thakur a ajouté : « le fait que les hackers aient demandé des rançons avant que les fichiers ne soient déchiffrés prouve qu’ils ne travaillent pas pour le gouvernement nord-coréen. »
Ce n'est pas parce qu'une rançon a été réclamée qu'ils ne sont pas liés au gouvernement, ils peuvent très bien vouloir renflouer leurs caisses tout en ayant été commandités par une entité extérieure. Rien ne dit non plus qu'ils n'ont pas travaillé seul derrière.
Avatar de mh-cbon
Membre averti https://www.developpez.com
Le 24/05/2017 à 16:15
Citation Envoyé par Florian_PB Voir le message
Ce n'est pas parce qu'une rançon a été réclamée qu'ils ne sont pas liés au gouvernement, ils peuvent très bien vouloir renflouer leurs caisses tout en ayant été commandités par une entité extérieure. Rien ne dit non plus qu'ils n'ont pas travaillé seul derrière.
ouais je ne sais pas de quel pays imaginaire tu t'inspires, mais avec le butin récolté tu ne fais pas vivre trois peknos à shanghai ad vitam æternam

on parle de combien 100 / 150 / 200 K $ je crois ? Même en corée du nord on en rigole
Avatar de Stéphane le calme
Chroniqueur Actualités https://www.developpez.com
Le 24/05/2017 à 16:32
Faites attention aux faux correctifs de WannaCry diffusés en ligne,
les chercheurs en sécurité recommandent la prudence et le bon sens

Avec la vague d’attaques au ransomware WannaCry, les experts en sécurité ont recommandé aux entreprises de faire attention aux correctifs qu’ils téléchargent sur Internet. « Ils exploitent vraiment les craintes de tous », a expliqué Adam Malone, directeur des enquêtes numériques de l’entreprise PwC basée à New York.

Il a rappelé que les vendeurs légitimes ne vont pas envoyer des alertes via des publications virales sur les réseaux sociaux. De plus, il a souligné que les correctifs ne nécessitent d’ordinaire pas de téléchargement : « Ils sont généralement fournis via le logiciel de mise à jour du fournisseur ». « Dans ce cas particulier, le correctif est fourni par Microsoft officiellement grâce à son service de mise à jour Windows ».

Pour obtenir le patch, tout ce que les utilisateurs doivent faire c’est lancer leur programme Windows Update.

De même, il a rappelé que les fournisseurs d'antivirus distribuent automatiquement les nouvelles signatures via des mises à jour logicielles : « Ils ne sont jamais distribués via un lien ou un message texte ou un site de réseautage social ».

Et dans les cas où un patch doit être téléchargé ou si les utilisateurs choisissent de faire une mise à jour manuelle, ils devraient être sûrs qu'ils se trouvent sur le site Web officiel du fournisseur et non sur un site tiers.

Par exemple, Microsoft a publié des liens de mises à jour à l’intention d’anciennes versions de son système d'exploitation, ainsi que sa Microsoft Malicious Software Removal Tool (MSRT) pour détecter et supprimer le malware WannaCrypt dans un billet de blog officiel. L’entreprise a prévenu que « Pour les clients qui exécutent Windows Update, l'outil détecte et supprime WannaCrypt et d'autres infections malveillantes répandues. Les clients peuvent également télécharger et exécuter manuellement l'outil en suivant les instructions. L'outil MSRT s'exécute sur tous les ordinateurs Windows pris en charge où les mises à jour automatiques sont activées, y compris celles qui ne fonctionnent pas avec d'autres produits de sécurité Microsoft ».

Certains fraudeurs vont même tenter de vendre des correctifs, a déclaré Cathie Brown, vice-présidente de la société de conseil en technologie Impact Makers inc. « Chaque fois qu'il y a une attaque à grande échelle ou une attaque de malware lancée, nous voyons émerger de faux correctifs », a-t-elle déclaré. « Tout comme le système de ransomware, il est facile de coder et de déployer un faux correctif - il peut rapidement devenir rentable ».

Aussi, même si cela peut sembler évident, elle recommande la prudence et le bon sens : « Aucune entreprise de sécurité ou d'informatique réputée ne va essayer de vendre des correctifs aux vulnérabilités des logiciels malveillants lorsque vous pouvez l'obtenir gratuitement par Microsoft », a-t-elle déclaré.

Damien Hugoo, directeur de la gestion de produits chez Easy Solutions, inc., a déclaré qu’il y a même eu des applications dans des magasins d'applications tierces offrant des correctifs à WannaCry. Pourtant, comme il l’a rappelé, « WannaCry n'affecte même pas les appareils mobiles ».

Les cybercriminels qui lancent des attaques de phishing utilisent également le nom « WannaCry » pour inciter les utilisateurs à cliquer sur des liens malveillants. Par exemple, au Royaume-Uni où le service national de santé a été touché par le virus, les utilisateurs ont reçu un courriel prétendant être de BT qui leur a demandé de cliquer sur un lien pour confirmer une mise à niveau de sécurité.

Un autre courriel a prétendu être issu de LogMeIn, inc., connu pour ses produits tels que GoToMeeting, GoToMyPC, LastPass et LogMeIn. Selon la publication du blog de l'entreprise, ce courriel a déclaré aux utilisateurs qu'ils étaient déjà infectés par WannaCry et qu'ils avaient besoin de mettre à jour leur logiciel LogMeIn en cliquant sur un lien qui semblait pointer vers le site officiel. L'adresse de retour affichait « LogMeIn.com Auto-Mailer » au niveau du nom, mais l’adresse de retour réelle était une chaîne de caractères aléatoires.

Une autre arnaque consiste à envoyer un message qui indique aux utilisateurs qu'ils sont infectés et leur demander de l'argent. Notons que, dans ces cas-là, les ordinateurs ne sont en réalité pas infectés ou les fichiers ne sont pas chiffrés. « Cela ne coûte pas grand-chose aux criminels de diffuser ce genre de messages », a déclaré Malone de PwC.

Source : blog TechNet, PwC, Impact Makers
Avatar de Florian_PB
Membre averti https://www.developpez.com
Le 24/05/2017 à 16:51
Dans ce dernier cas c'est juste les gens qui n'ont pas assimilés les réflexes de base que nous autres surhommes informaticiens avons, pas de leur fautes s'ils sont ignorants n'ont pas été éduqués pour contrer ce genre de méthodes.

Edit : je suis totalement ironique, ce n'est pas à prendre au premier degré. je dis juste que ceux qui n'ont pas reçu "d'éducation informatique" ne savent pas forcément démêler le vrai du faux de ce qu'ils voient sur internet dès que ça parle de virus et de sécurité informatique.
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web