
La firme de sécurité Symantec a aussi mené des investigations sur les similitudes entre le ransomware WannaCry et le malware Cantopee. Symantec se veut clair, les versions de WannaCry de février et de mai sont globalement identiques, avec cependant quelques changements. La version de mai diffèrerait de celle de février essentiellement par l’utilisation de l’exploit EternalBlue qui lui a conféré son caractère d’arme de destruction de masse. Symantec a clairement établi le lien entre les versions de WannaCry du mois de février et celle de mai en évoquant le fait que les mots de passe des fichiers .Zip contenus dans l’injecteur de WannaCry sont similaires dans les deux versions. Il s’agit des chaînes de caractères : wcry@123, wcry@2016 et WNcry@2ol7.
Les similitudes entre la version de WannaCry de février et le malware Cantopee ayant été établies, ce nouvel élément de Symantec (le lien entre les versions de WannaCry de février et de mai) augmente la probabilité que le groupe Lazarus soit l’auteur du ransomware WannaCry. C’est d’ailleurs ce que semble affirmer Vikram Thakur, directeur technique chez Symantec, lorsqu’il s’exprime au micro de Reuters en disant que « nous sommes sûrs du fait qu’il s’agit du travail de personnes liées au groupe Lazarus puisqu’elles devaient avoir accès au code source. » Et d’ajouter que « nous ne pensons pas qu’il s’agisse d’une opération pilotée par un gouvernement. »
Au sujet d’un possible commandite du gouvernement nord-coréen, Vikram Thakur a ajouté : « le fait que les hackers aient demandé des rançons avant que les fichiers ne soient déchiffrés prouve qu’ils ne travaillent pas pour le gouvernement nord-coréen. »
Sources : Symantec, Reuters
Et vous ?

Voir aussi :



