WannaCry 2.0 ? Une autre campagne mondiale d'attaques informatiques aux ransomwares a eu lieu
L'Ukraine en est la principale victime

Le , par Stéphane le calme, Chroniqueur Actualités
Aujourd’hui, Maersk, le grand armateur danois, a signalé avoir été la cible d’une cyberattaque : « Nous pouvons confirmer que les systèmes informatiques Maersk sont en panne sur plusieurs sites et unités d'affaires en raison d'une cyberattaque », a déclaré le Danois sur son site Web.

Le poids lourd russe du pétrole Rosnoft s’est vu obligé de passer sur ses serveurs de secours après avoir affirmé qu’il était confronté à une « puissante cyberattaque ». L’annonceur britannique WPP a déclaré sur son Facebook qu'il a également été frappé par une cyberattaque, de même que le cabinet d'avocats DLA Piper.

Le laboratoire pharmaceutique Merck est devenu la première victime connue aux États-Unis, son système informatique ayant été « compromis ». Le problème aurait même été répandu à ses filiales à l’extérieur des frontières américaines comme celle en Irlande, renvoyant les employés plus tôt chez eux, faute de pouvoir travailler.

« [Nous voyons] plusieurs milliers de tentatives d'infection en ce moment, de taille comparable aux premières heures de WannaCry » , a déclaré Costin Raiu, de Kaspersky Lab, qui a prévenu sur Twitter que le logiciel malveillant « se répand dans le monde entier, un grand nombre de pays sont affectés .»

Aucun lien officiel n'avait été établi cet après-midi entre ces différentes attaques, apparemment simultanées, mais des informations rapportées par plusieurs entreprises faisaient état d'un virus faisant apparaître une demande de rançon de 300 dollars sur l'écran de leurs ordinateurs.

BitDefender, le spécialiste en sécurité, a imputé la responsabilité de ces attaques à une souche d’un ransomware baptisé GoldenEye et qui a des ressemblances avec le virus Wannacry, qui avait défrayé la chronique début mai.

L'Ukraine cible principale

L'impact semble avoir été plus sévère en Ukraine, selon Kaspersky. À cause de cette attaque, les passagers du métro de Kiev ne pouvaient pas payer en carte bancaire, les panneaux d'affichage de l'aéroport de Kiev ne fonctionnaient plus et des banques ukrainiennes devaient mettre en pause certains des services proposés à leurs clients.

« La Banque Nationale d'Ukraine a signalé aux banques et aux autres agents du marché financier une attaque informatique externe menée aujourd'hui contre les sites des banques ukrainiennes et d'entreprises publiques et commerciales » , selon un communiqué de la banque centrale ukrainienne (NBU).

Selon la société spécialisée en sécurité informatique Group-IB, « environ 80 entreprises ont été visées » en Russie et en Ukraine: dont Rosneft et de grosses banques ukrainiennes, mais aussi Mars, Nivea, Auchan et des structures gouvernementales ukrainiennes. Il s'agirait des conséquences d'une « version modifiée récemment » du virus Petya, selon la même source.


Mais Igor Zdobnov, Chief Malware Analyst chez Doctor Web, réfute la possibilité qu’il s’agisse d’une version modifiée de Petya : « Il s’agit en fait d'une nouvelle version de ce Trojan. Certains médias font des parallèles avec le ransomware Petya (qui est détecté par Dr.Web comme Trojan.Ransom.369) en prenant en compte certaines manifestations externes de ses activités, cependant, la méthode de propagation de la nouvelle menace est différente du schéma standard utilisé dans Petya. »

En Ukraine, le Premier ministre Volodymyr Groïsman a évoqué une attaque « sans précédent ». « Les banques éprouvent des difficultés à prendre en charge leurs clients et faire des opérations bancaires », a indiqué la banque centrale.

Le site du gouvernement ukrainien a été bloqué, tout comme celui de la centrale Tchernobyl.
En raison de pannes informatiques, la mesure du niveau de radiation sur le site, à l'arrêt total depuis 2000, se faisait « manuellement ».

« Cela veut dire que nos techniciens mesurent la radioactivité avec des compteurs Geiger sur le site de la centrale, comme on le faisait il y a des dizaines d'années », a déclaré Olena Kovaltchouk, la porte-parole de l'Agence gouvernementale de gestion de la zone d'exclusion de Tchernobyl, ajoutant ne pas savoir quand un retour à la normale serait possible.

Comment se répand le virus ?

BitDefender a assuré qu’à l’heure actuelle, il n'y a pas d'informations sur le vecteur de propagation. Cependant, l’entreprise suppose qu’il est porté par un ver. « Contrairement à la plupart des ramsonwares, cette nouvelle variante GoldenEye comporte deux couches de chiffrement : une qui chiffre individuellement les fichiers présents sur l'ordinateur et une autre qui chiffre les structures NTFS. Ce procédé empêche les victimes de démarrer leurs ordinateurs sur un système d’exploitation via un live USB ou live CD ».

« En outre, une fois que le processus de chiffrement est terminé, le ransomware a une fonction spéciale qui consiste à forcer l’arrêt de l'ordinateur, déclenchant un redémarrage et rendant l'ordinateur inutilisable jusqu'à ce que la rançon de 300 $ soit payée. »

Comme l'a noté le cabinet de sécurité FireEye en avril, les attaques exploitant une faille Windows, différente de celle que l’exploit EternalBlue utilisait, permettent à un pirate informatique d'exécuter des commandes sur un PC de l'utilisateur lorsqu'il ouvre un document malveillant. FireEye a vu des documents Office contenir le hack et télécharger des logiciels malveillants populaires sur des ordinateurs cibles.

Le PDG de Hacker House, Matthew Hickey, a déclaré que les attaques initiales semblaient avoir été livrées par cette dernière attaque, en utilisant des courriels de phishing contenant des fichiers Excel. Les logiciels malveillants de Petya se sont peut-être propagés si vite en utilisant par la suite les caractéristiques de l'attaque de la NSA, a-t-il ajouté, confirmant que le code du ransomware utilisait certainement EternalBlue.

« Cette fois, elle va atteindre les gens qui n'ont pas été touchés par WannaCry parce qu'elle ira dans les réseaux internes par courrier électronique », a averti Hickey.

Source : Forbes

Et vous ?

Qu'en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de marsupial marsupial - Membre éprouvé https://www.developpez.com
le 27/06/2017 à 21:57
D'après ce que j'ai pu comprendre, l'entrée se fait par phishing et la contamination du réseau par EternalBlue ou outils d'administration Microsoft demandant malgré tout des droits admin pour opérer mais quel est le payload pour les obtenir...
Moralité : dès que vous êtes touchés, coupez tous les accès réseaux. C'est une belle merde. Et faites vos sauvegardes. Curieusement, seul l'occident est impacté et le dernier pays anti-occident restant dans le monde s'appelle la Corée du nord.

Edit : Ce ne serait pas la Corée ? Qui a intérêt à blaster l'Ukraine ? Les américains en faisant porter le chapeau ? Un tir ami extrêmement douloureux à mon sens...
Avatar de mh-cbon mh-cbon - Membre actif https://www.developpez.com
le 28/06/2017 à 10:00
> L'impact semble avoir été plus sévère en Ukraine, selon Kaspersky. À cause de cette attaque, les passagers du métro de Kiev ne pouvaient pas payer en carte bancaire, les panneaux d'affichage de l'aéroport de Kiev ne fonctionnaient plus et des banques ukrainiennes devaient mettre en pause certains des services proposés à leurs clients.

Dingue, il y a +20 ans, c'était surtout la trame d'un film d'action.

Déjà on en parlait pour dire que vraiment c'est pas terrible.

Figurez vous que la réalité dépasse la fiction.

De cela j'invite les gens à bien réfléchir à ce qu'ils font il y à plusieurs sujets technologique qui impacte la vie quotidienne et dont on soupçonne bien le pouvoir néfaste mais que l'on refuse de voir.

_____

Cette attaque, vu le peu qu'on en sait dans la news, pas grand chose à en dire.

Par contre, je trouve très intéressant cette idée de déployer sur les médias de masse l'idée d'une attaque informatique de grande ampleur fictive afin de manipuler les cours de la bourse (comme en '29).
Avatar de philou44300 philou44300 - Membre habitué https://www.developpez.com
le 28/06/2017 à 11:35
cette nouvelle variante GoldenEye comporte deux couches de chiffrement : une qui chiffre individuellement les fichiers présents sur l'ordinateur et une autre qui chiffre les structures NTFS. Ce procédé empêche les victimes de démarrer leurs ordinateurs sur un système d’exploitation via un live USB ou live CD »
Bonjour,
Je ne comprend pas la partie citée et en quoi cela bloque le boot sur live CD. Quelqu'un peut-il m'expliquer svp?
Avatar de Grimly Grimly - Membre averti https://www.developpez.com
le 28/06/2017 à 13:34
Citation Envoyé par philou44300 Voir le message
Bonjour,
Je ne comprend pas la partie citée et en quoi cela bloque le boot sur live CD. Quelqu'un peut-il m'expliquer svp?
Bonjour philou44300,

Si tu laisses les registres NTFS, la structure de ton disque (tes dossiers, le nom de tes fichiers, leur taille sur le disque, etc...) reste intacte et du coup, si tu vois le problème arriver, tu peux récupérer ce qui n'a pas encore été crypté en bootant sur un Unix. Si tu crypte ces registres, le disque est irrécupérable quasiment dès le début de l'opération.
Avatar de Stéphane le calme Stéphane le calme - Chroniqueur Actualités https://www.developpez.com
le 28/06/2017 à 16:17
Petya/NotPetya : le CERT-FR prévient que le ransomware dispose de multiples capacités de propagation,
et donne des recommandations pour éviter la menace

La vague d’attaques mondiales au ransomware, qui rappelle le tristement célèbre WannaCry, n’a pas manqué de toucher également la France. La CERT-FR, cellule nationale d’alertes aux menaces informatiques, a émis un bulletin d’alerte qui indique que cette campagne de rançongiciels dispose de multiples capacités de propagation.

Le risque encouru ? Les entreprises et particuliers pourront subir l’installation et propagation d’un logiciel malveillant de type rançongiciel, voire, à terme, d’autres logiciels malveillants.

Concernant le vecteur de propagation, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (qui est rattaché à l’Agence nationale de la sécurité des systèmes d’information ou ANSSI) a précisé que l’ANSSI ne dispose pas à cette heure de preuves suffisantes permettant de définir de façon certaine le vecteur initial d’infection. Le vecteur d’infection initial pourrait utiliser des méthodes d’hameçonnage exploitant la vulnérabilité CVE-2017- 0199. Dans ce cas, un fichier de type rtf est en pièce jointe du courriel. Une fois ouvert, ce fichier télécharge un document Excel qui à son tour récupère le logiciel malveillant.

Microsoft indique que le logiciel de paiement de taxe MEDoc pourrait être un des vecteurs initiaux d’infection via une mise à jour automatique. Lors de son installation, le rançongiciel vérifie la présence du fichier C:\Windows\perfc avant de continuer son exécution. Des droits élevés permettent au rançongiciel de voler les mots de passe locaux soit en utilisant un outil de type Mimikatz en version 32 et 64 bits, soit en faisant appel à l’API CredEnumerateW.

Le rançongiciel dispose de plusieurs capacités pour se propager sur le réseau :
  • en utilisant les identifiants récupérés sur la machine ;
  • en exploitant des vulnérabilités du protocole SMB (identifiées dans le bulletin MS17-010).

« La ressemblance avec Petya n'est que superficielle », a noté le spécialiste en sécurité informatique The Grugq. « Bien qu'il y ait un partage significatif de code, le vrai Petya était une entreprise criminelle établie pour gagner de l'argent. Ce [dernier logiciel malveillant] n'est certainement pas conçu pour gagner de l'argent. Il est conçu pour se répandre rapidement et causer des dégâts, avec une couverture plausiblement invalidable de ransomware. »

Certains analystes ont trouvé des traces de Petya dans ce nouveau ransomware, d’autres ont plutôt trouvé des souches de GoldenEye. Aussi, en attendant d’avoir plus d’informations, certains ont décidé de le baptiser Petya/NotPetya.

Voici un résumé de la campagne de piratage de Petya/NotPetya.
  • Le logiciel malveillant utilise un tas d'outils pour se déplacer dans un réseau, en infectant les machines au fur et à mesure. Il utilise une version modifiée de l’outil open source Minikatz pour extraire les informations d'identification des administrateurs réseau hors de la mémoire en cours d'exécution de la machine. Il utilise ces détails pour se connecter et exécuter des commandes sur d'autres machines en utilisant PsExec et WMIC pour les infecter.
  • Il utilise également une version modifiée de l'exploit EBSBlue SMB de la NSA, précédemment utilisé par WannaCry, en plus de l'exploit EternalRomance SMB (également de la NSA) pour infecter d'autres systèmes en leur injectant un code malveillant. Il s’appuie sur des vulnérabilités qui ont été corrigées par Microsoft plus tôt cette année, de sorte que le vol d'identification a plus de chances de réussite sur des machines qui n’ont pas effectué la mise à jour.
  • Le logiciel cherche à obtenir un accès administrateur sur une machine, puis tire parti de ses privilèges pour commander d'autres ordinateurs sur le réseau : il profite du fait que nombreuses sont les entreprises qui se servent de configuration réseaux dans lesquelles un administrateur sur un point final peut contrôler d'autres machines, ou alors il récupère les informations d'identification de l'administrateur de domaine en mémoire, jusqu'à ce que le contrôle total sur le réseau Windows soit atteint.
  • Une façon d'obtenir un accès administratif est d'utiliser les exploits NSA. Une autre façon est de faire passer le logiciel malveillant pour une mise à jour sur une suite d'applications en cours d'exécution en tant qu'administrateur ou administrateur de domaine, ce qui va provoquer l’exécution du logiciel malveillant sur le réseau de l'entreprise avec de grands privilèges. Il est entendu que Petya/NotPetya est entré dans les réseaux d'entreprise en tant qu'administrateur via une mise à jour logicielle détournée par un outil de logiciel fiscal ukrainien et par courrier électronique de phishing.
  • Avec l'accès à l'administrateur, le logiciel malveillant peut réécrire le Master Boot Record (zone d’amorçage) du disque dur de la station de travail locale, il peut également chiffrer les tables et les fichiers du système de fichiers sur le lecteur. NotPetya utilise AES-128 pour chiffrer les données.

Le CERT-FR recommande :
  • l’application immédiate des mises à jour de sécurité notamment la mise à jour de sécurité Microsoft MS17- 010 ;
  • le respect des recommandations génériques relatives aux rançongiciels ;
  • de limiter l’exposition du service SMB, en particulier sur internet ;
  • respecter le principe de moindre privilège pour les utilisateurs, afin de limiter l’élévation de privilèges et la propagation latérale de l’attaquant ;
  • de ne pas payer la rançon. En outre, les mesures suivantes permettraient de limiter la propagation des souches aujourd’hui identifiées :
    • empêcher l’exécution de PSExec sur les machines,
    • empêcher la création de processus à distance par WMI,
    • empêcher l’exécution de C:\Windows\perfc.dat,
    • créer un fichier vide C:\Windows\perfc.

De manière préventive, s’il n’est pas possible de mettre à jour une machine, il est recommandé de l’isoler logiquement, voire de l’éteindre le temps d’appliquer les mesures adaptées de protection. La désactivation du protocole SMBv1 peut être un plus, mais ne saurait remplacer l’installation des correctifs.

Source : bulletin d'alerte CERT-FR (au format PDF), The Grugq

Et vous ?

Qu'en pensez-vous ?
Avatar de Tartare2240 Tartare2240 - Membre régulier https://www.developpez.com
le 28/06/2017 à 17:09
Avatar de Malick Malick - Community Manager https://www.developpez.com
le 28/06/2017 à 17:49
Salut,

Citation Envoyé par Tartare2240 Voir le message
Chez moi le premier lien fourni comme source fonctionne bien ; c'est un fichier PDF qui est téléchargé en cliquant dessus.
Avatar de Jipété Jipété - Expert éminent https://www.developpez.com
le 28/06/2017 à 19:26
Bonsoir,
Citation Envoyé par Grimly Voir le message
Si tu laisses les registres NTFS, la structure de ton disque (tes dossiers, le nom de tes fichiers, leur taille sur le disque, etc...) reste intacte et du coup, si tu vois le problème arriver, tu peux récupérer ce qui n'a pas encore été crypté en bootant sur un Unix. Si tu cryptes ces registres, le disque est irrécupérable quasiment dès le début de l'opération.
C'est quoi les registres NTFS ? Jamais entendu parler depuis NT4...

Citation Envoyé par philou44300 Voir le message
Citation Envoyé par Stéphane le calme Voir le message
Ce procédé empêche les victimes de démarrer leurs ordinateurs sur un système d’exploitation via un live USB ou live CD ».
Bonjour,
Je ne comprend pas la partie citée et en quoi cela bloque le boot sur live CD. Quelqu'un peut-il m'expliquer svp?
Quant à ça, je suspecte une mauvaise traduction car je ne vois pas en quoi le cryptage d'un disque empêcherait le boot sur un LiveCD. Que ça empêche la récupération, d'accord, mais le boot
Avatar de e101mk2 e101mk2 - Membre habitué https://www.developpez.com
le 28/06/2017 à 19:38
Pour moi aussi le lien fonctionne, pourquoi ton nav rajoute des espace est un mystère...

Voila le problème des portes dérobées créer intentionnellement, si les pirates les trouvent, sa peut vite devenir un problème.
Surtout quand ils savent qu'elles existent, les teams ne renoncent pas devant un défis...

Citation Envoyé par Jipété Voir le message
Quant à ça, je suspecte une mauvaise traduction car je ne vois pas en quoi le cryptage d'un disque empêcherait le boot sur un LiveCD. Que ça empêche la récupération, d'accord, mais le boot
Je suis tout a fait d'accord avec toi, mais je connais pas assez l'UEFI pour en parler, sachant que certains ordinateurs portable ,elle est obligatoire.
Avatar de philou44300 philou44300 - Membre habitué https://www.developpez.com
le 29/06/2017 à 7:48
Merci pour vos retours et effectivement Jipété je ne comprend pas aussi en quoi cela empêche de démarrer à partir d'un live cd. Je pense également que cela empêche de récupérer les données à partir d'un live cd car, comme expliqué par Grimly, cela doit chiffrer ce qui contient les emplacements des fichiers sur le disque dûr (mais je ne m'y connais pas assez dans ce domaine).
Offres d'emploi IT
Ingénieur data h/f
MeilleursAgents.com - Ile de France - Paris (75000)
Développeur wpf .net– H/F
Kercia - Rhône Alpes - Meylan (38240)
Lead Developer Ruby On Rails
HighCoBOX - Ile de France - Paris (75009)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil