Petya/NotPetya : le CERT-FR prévient que le ransomware dispose de multiples capacités de propagation
Et donne des recommandations pour l'éviter

Le , par Stéphane le calme, Chroniqueur Actualités
La vague d’attaques mondiales au ransomware, qui rappelle le tristement célèbre WannaCry, n’a pas manqué de toucher également la France. La CERT-FR, cellule nationale d’alertes aux menaces informatiques, a émis un bulletin d’alerte qui indique que cette campagne de rançongiciels dispose de multiples capacités de propagation.

Le risque encouru ? Les entreprises et particuliers pourront subir l’installation et propagation d’un logiciel malveillant de type rançongiciel, voire, à terme, d’autres logiciels malveillants.

Concernant le vecteur de propagation, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (qui est rattaché à l’Agence nationale de la sécurité des systèmes d’information ou ANSSI) a précisé que l’ANSSI ne dispose pas à cette heure de preuves suffisantes permettant de définir de façon certaine le vecteur initial d’infection. Le vecteur d’infection initial pourrait utiliser des méthodes d’hameçonnage exploitant la vulnérabilité CVE-2017- 0199. Dans ce cas, un fichier de type rtf est en pièce jointe du courriel. Une fois ouvert, ce fichier télécharge un document Excel qui à son tour récupère le logiciel malveillant.

Microsoft indique que le logiciel de paiement de taxe MEDoc pourrait être un des vecteurs initiaux d’infection via une mise à jour automatique. Lors de son installation, le rançongiciel vérifie la présence du fichier C:\Windows\perfc avant de continuer son exécution. Des droits élevés permettent au rançongiciel de voler les mots de passe locaux soit en utilisant un outil de type Mimikatz en version 32 et 64 bits, soit en faisant appel à l’API CredEnumerateW.

Le rançongiciel dispose de plusieurs capacités pour se propager sur le réseau :
  • en utilisant les identifiants récupérés sur la machine ;
  • en exploitant des vulnérabilités du protocole SMB (identifiées dans le bulletin MS17-010).

« La ressemblance avec Petya n'est que superficielle », a noté le spécialiste en sécurité informatique The Grugq. « Bien qu'il y ait un partage significatif de code, le vrai Petya était une entreprise criminelle établie pour gagner de l'argent. Ce [dernier logiciel malveillant] n'est certainement pas conçu pour gagner de l'argent. Il est conçu pour se répandre rapidement et causer des dégâts, avec une couverture plausiblement invalidable de ransomware. »

Certains analystes ont trouvé des traces de Petya dans ce nouveau ransomware, d’autres ont plutôt trouvé des souches de GoldenEye. Aussi, en attendant d’avoir plus d’informations, certains ont décidé de le baptiser Petya/NotPetya.

Voici un résumé de la campagne de piratage de Petya/NotPetya.
  • Le logiciel malveillant utilise un tas d'outils pour se déplacer dans un réseau, en infectant les machines au fur et à mesure. Il utilise une version modifiée de l’outil open source Minikatz pour extraire les informations d'identification des administrateurs réseau hors de la mémoire en cours d'exécution de la machine. Il utilise ces détails pour se connecter et exécuter des commandes sur d'autres machines en utilisant PsExec et WMIC pour les infecter.
  • Il utilise également une version modifiée de l'exploit EBSBlue SMB de la NSA, précédemment utilisé par WannaCry, en plus de l'exploit EternalRomance SMB (également de la NSA) pour infecter d'autres systèmes en leur injectant un code malveillant. Il s’appuie sur des vulnérabilités qui ont été corrigées par Microsoft plus tôt cette année, de sorte que le vol d'identification a plus de chances de réussite sur des machines qui n’ont pas effectué la mise à jour.
  • Le logiciel cherche à obtenir un accès administrateur sur une machine, puis tire parti de ses privilèges pour commander d'autres ordinateurs sur le réseau : il profite du fait que nombreuses sont les entreprises qui se servent de configuration réseaux dans lesquelles un administrateur sur un point final peut contrôler d'autres machines, ou alors il récupère les informations d'identification de l'administrateur de domaine en mémoire, jusqu'à ce que le contrôle total sur le réseau Windows soit atteint.
  • Une façon d'obtenir un accès administratif est d'utiliser les exploits NSA. Une autre façon est de faire passer le logiciel malveillant pour une mise à jour sur une suite d'applications en cours d'exécution en tant qu'administrateur ou administrateur de domaine, ce qui va provoquer l’exécution du logiciel malveillant sur le réseau de l'entreprise avec de grands privilèges. Il est entendu que Petya/NotPetya est entré dans les réseaux d'entreprise en tant qu'administrateur via une mise à jour logicielle détournée par un outil de logiciel fiscal ukrainien et par courrier électronique de phishing.
  • Avec l'accès à l'administrateur, le logiciel malveillant peut réécrire le Master Boot Record (zone d’amorçage) du disque dur de la station de travail locale, il peut également chiffrer les tables et les fichiers du système de fichiers sur le lecteur. NotPetya utilise AES-128 pour chiffrer les données.

Le CERT-FR recommande :
  • l’application immédiate des mises à jour de sécurité notamment la mise à jour de sécurité Microsoft MS17- 010 ;
  • le respect des recommandations génériques relatives aux rançongiciels ;
  • de limiter l’exposition du service SMB, en particulier sur internet ;
  • respecter le principe de moindre privilège pour les utilisateurs, afin de limiter l’élévation de privilèges et la propagation latérale de l’attaquant ;
  • de ne pas payer la rançon. En outre, les mesures suivantes permettraient de limiter la propagation des souches aujourd’hui identifiées :
    • empêcher l’exécution de PSExec sur les machines,
    • empêcher la création de processus à distance par WMI,
    • empêcher l’exécution de C:\Windows\perfc.dat,
    • créer un fichier vide C:\Windows\perfc.

De manière préventive, s’il n’est pas possible de mettre à jour une machine, il est recommandé de l’isoler logiquement, voire de l’éteindre le temps d’appliquer les mesures adaptées de protection. La désactivation du protocole SMBv1 peut être un plus, mais ne saurait remplacer l’installation des correctifs.

Source : bulletin d'alerte CERT-FR (au format PDF), The Grugq

Et vous ?

Qu'en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Tartare2240 Tartare2240 - Membre régulier https://www.developpez.com
le 28/06/2017 à 17:09
Avatar de Malick Malick - Community Manager https://www.developpez.com
le 28/06/2017 à 17:49
Salut,

Citation Envoyé par Tartare2240 Voir le message
Chez moi le premier lien fourni comme source fonctionne bien ; c'est un fichier PDF qui est téléchargé en cliquant dessus.
Avatar de Jipété Jipété - Expert éminent https://www.developpez.com
le 28/06/2017 à 19:26
Bonsoir,
Citation Envoyé par Grimly Voir le message
Si tu laisses les registres NTFS, la structure de ton disque (tes dossiers, le nom de tes fichiers, leur taille sur le disque, etc...) reste intacte et du coup, si tu vois le problème arriver, tu peux récupérer ce qui n'a pas encore été crypté en bootant sur un Unix. Si tu cryptes ces registres, le disque est irrécupérable quasiment dès le début de l'opération.
C'est quoi les registres NTFS ? Jamais entendu parler depuis NT4...

Citation Envoyé par philou44300 Voir le message
Citation Envoyé par Stéphane le calme Voir le message
Ce procédé empêche les victimes de démarrer leurs ordinateurs sur un système d’exploitation via un live USB ou live CD ».
Bonjour,
Je ne comprend pas la partie citée et en quoi cela bloque le boot sur live CD. Quelqu'un peut-il m'expliquer svp?
Quant à ça, je suspecte une mauvaise traduction car je ne vois pas en quoi le cryptage d'un disque empêcherait le boot sur un LiveCD. Que ça empêche la récupération, d'accord, mais le boot
Avatar de e101mk2 e101mk2 - Membre habitué https://www.developpez.com
le 28/06/2017 à 19:38
Pour moi aussi le lien fonctionne, pourquoi ton nav rajoute des espace est un mystère...

Voila le problème des portes dérobées créer intentionnellement, si les pirates les trouvent, sa peut vite devenir un problème.
Surtout quand ils savent qu'elles existent, les teams ne renoncent pas devant un défis...

Citation Envoyé par Jipété Voir le message
Quant à ça, je suspecte une mauvaise traduction car je ne vois pas en quoi le cryptage d'un disque empêcherait le boot sur un LiveCD. Que ça empêche la récupération, d'accord, mais le boot
Je suis tout a fait d'accord avec toi, mais je connais pas assez l'UEFI pour en parler, sachant que certains ordinateurs portable ,elle est obligatoire.
Avatar de philou44300 philou44300 - Membre habitué https://www.developpez.com
le 29/06/2017 à 7:48
Merci pour vos retours et effectivement Jipété je ne comprend pas aussi en quoi cela empêche de démarrer à partir d'un live cd. Je pense également que cela empêche de récupérer les données à partir d'un live cd car, comme expliqué par Grimly, cela doit chiffrer ce qui contient les emplacements des fichiers sur le disque dûr (mais je ne m'y connais pas assez dans ce domaine).
Avatar de Florian_PB Florian_PB - Membre averti https://www.developpez.com
le 29/06/2017 à 9:03
Petya, c'est pas celui dont il existait un dépôt github qui a été supprimé il n'y a pas longtemps dont le github servait à montrer comment ça marche et comment reverse les effets du virus ?

EDIT : My bad le dépôt existe toujours : https://github.com/leo-stone/hack-petya
Avatar de wax78 wax78 - Modérateur https://www.developpez.com
le 29/06/2017 à 14:01
Citation Envoyé par Malick Voir le message
Salut,

Chez moi le premier lien fourni comme source fonctionne bien ; c'est un fichier PDF qui est téléchargé en cliquant dessus.
Bah non chez moi non plus le premier lien n'est pas bon il y'a %20 (espace) dans l'url... Pour le PDF c'est le 2ème lien qui lui est valide.
Avatar de Marco46 Marco46 - Expert éminent https://www.developpez.com
le 29/06/2017 à 15:58
Il s'agirait en fait d'un wiper déguisé en ransomware , le but n'étant donc pas de gagner de l'argent mais de détruire les données des postes ciblés.
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 29/06/2017 à 18:47
Petya/NotPetya serait un wiper déguisé en ransomware
son objectif serait de supprimer irrévocablement les données de ses victimes

Plusieurs experts en sécurité soutiennent que Petya/NotPetya ne serait rien d’autre qu’un wiper déguisé en ransomware. C’est-à-dire que son objectif est de détruire les données de ses victimes. L’analyse d’échantillons de son code source indique en effet que ce malware est destiné à supprimer de manière irrévocable les données de ses victimes et non de les restaurer après paiement de la rançon de 300 $ demandée.

Pour information, ce « faux » ransomware qui a tout de suite fait penser à WannaCry a commencé à semer la terreur ce mardi 27 juin. Se propageant comme un ver, Petya/NotPetya a infecté de nombreuses entreprises et organisations, notamment en Ukraine. Les machines de ses victimes ont été infectées en utilisant les vulnérabilités déjà exploitées par les pirates lors de la campagne mondiale du ransomware WannaCry. Petya/NotPetya chiffre les fichiers uniquement sur les lecteurs fixes de l’ordinateur en utilisant des algorithmes AES-128. Il faut également noter qu’une clé est créée pour chaque disque. Le malware va aussi chiffrer le MFT (Master File Table), et dès que le chiffrement est terminé, il affiche la demande de rançon.


Il semble toutefois que ça ne servira à rien aux victimes d’essayer de payer les rançons. Des analyses séparées de Kaspersky et de la firme de sécurité Comae Technologies ont en effet abouti à une même conclusion : Petya/NotPetya ne semble pas intéressé par l’argent de ses victimes. Il veut tout simplement détruire leurs données.

Kaspersky a analysé la routine de déchiffrement du nouveau malware et a découvert que l'acteur de la menace ne peut déchiffrer le disque des victimes, même si un paiement est effectué. Tout d'abord, il faut noter qu’afin de déchiffrer le disque de la victime, les attaquants ont besoin d’un ID d'installation fourni dans le message de demande de rançon. Dans les versions antérieures des ransomwares similaires (le cas de Petya notamment), cet ID d'installation contient des informations cruciales pour générer la clé de déchiffrement. Une fois cette information est envoyée à l'attaquant, il peut alors extraire la clé de déchiffrement. Dans le cas de Petya/NotPetya, l'ID affiché dans le message de demande de rançon est simplement une donnée aléatoire. « Cela signifie que l'attaquant ne peut pas extraire les informations de déchiffrement d'une telle chaîne générée de manière aléatoire affichée à la victime et, par conséquent, les victimes ne pourront déchiffrer aucun des disques chiffrés à l'aide de l'ID d'installation », explique Kaspersky.

D’après la firme de sécurité russe, « cela renforce la théorie selon laquelle l'objectif principal de l'attaque de [Petya/NotPetya] n'était pas motivé financièrement, mais était destructeur ».

Dans une autre analyse indépendante, Matt Suiche de Comae Technologies conclut que les développeurs de Petya/NotPetya ont simplement réécrit Petya de sorte que les données des victimes soient supprimées de manière irrévocable. Il découvre que le malware écrase expressément les 25 premiers blocs des disques des machines de ses victimes. Les « 24 blocs à la suite du premier bloc sont remplacés, ils ne sont pas lus ou enregistrés quelque part. Alors que la version originale de Petya lit correctement chaque bloc et les encode de manière réversible », explique Matt Suiche. Autrement dit, la version originale de Petya modifie le disque de manière à pouvoir rétablir ses modifications, alors que Petya/NotPetya inflige des dommages permanents et irréversibles au disque.

Dans un tweet, l’expert en sécurité de Comae Technologies affirme que « les ransomwares et hackers sont en train de devenir les boucs émissaires des attaquants [parrainés par des gouvernements]. » Il pense en effet que Petya/NotPetya est en fait « un leurre pour contrôler le récit médiatique, surtout après les incidents de WannaCry, pour attirer l'attention sur un groupe de pirates mystérieux plutôt que sur un attaquant [parrainé par un gouvernement] », comme cela a été le cas dans le passé avec des malwares similaires visant à détruire des données de certaines organisations. L’Ukraine majoritairement touchée serait donc la cible.

Sources : Kaspersky, Matt Suiche

Et vous ?

Que pensez-vous des analyses faites par Kaspersky et Matt Suiche ?

Voir aussi :

Les données chiffrées par le ransomware Jaff, demandant jusqu'à 5000$ à ses victimes, sont déchiffrables gratuitement, avec un outil de Kaspersky
Un hébergeur Web en Corée du Sud accepte de payer près d'un million d'euros en bitcoins, suite à une attaque de ransomware Linux
Avatar de marsupial marsupial - Membre éprouvé https://www.developpez.com
le 29/06/2017 à 20:39
Comment dit-on en Russe "Vlad, arrête tes conneries stp ?"
Avatar de Patrick Ruiz Patrick Ruiz - Chroniqueur Actualités https://www.developpez.com
le 02/07/2017 à 8:10
L’Ukraine attribue la paternité du wiper Petya/NotPetya à la Russie
En s’appuyant sur des données de la firme ESET entre autres

Une semaine après que le wiper Petya/NotPetya a commencé à sévir, d’abord en Ukraine, puis de par le monde, les firmes de sécurité commencent à publier leurs analyses respectives du phénomène, ce qui lance la chasse aux sorcières dans ce nouveau feuilleton.

Se fondant sur une analyse toute récente de la firme de sécurité ESET entre autres, les services secrets ukrainiens viennent d’accuser la Russie d’avoir planifié et lancé cette nouvelle cyberattaque d’envergure mondiale.

Les analyses de la firme ESET et Kaspersky Lab notamment lient le wiper Petya/NotPetya aux activités d’un groupe de hackers qui opère depuis 2007. Les campagnes malicieuses attribuées à ce groupe ont tour à tour pris des noms comme Sandworm, TeleBots ou Black Energy particulièrement connue pour avoir plongé l’ouest de l’Ukraine dans le noir en décembre 2015.

KillDisk fait également partie de la longue liste de malwares dans l’arsenal de ce groupe. On sait qu’il a été conçu pour provoquer des pannes sur les réseaux électriques ukrainiens en 2015, probablement dans le dessein de saboter des systèmes industriels ou masquer les traces d’une cyberattaque.

Le plus intéressant à son sujet est le parallèle qu’il est possible d’établir avec le wiper Petya/NoPetya déguisé en ransomware. En décembre 2016, la firme de sécurité CyberX a découvert un échantillon de KillDisk déguisé en ransomware, une analyse confirmée par celle de la firme de sécurité ESET en janvier 2017. Le montant exigé par les hackers dans le cadre de ces campagnes indiquait clairement que l’utilisation du malware contre l’Ukraine avait uniquement des desseins destructeurs.

C’est d’ailleurs sur les similarités entre les infrastructures exploitées, les tactiques, les techniques, les procédures et surtout sur le choix de la victime que la firme ESET base sa récente analyse pour établir le lien entre le wiper Petya/NotPetya et les campagnes Sandworm, Black Energy et TeleBots entre autres.

« Il ne s’agit pas d’un incident isolé. Il s’agit de la dernière d’une longue série d’attaques similaires contre l’Ukraine », peut-on lire dans le rapport d’Anton Cherepanov de la firme ESET. Et d’ajouter que « ce groupe continue d’améliorer ses méthodes pour mener des attaques contre l’Ukraine. Avant cette vague d’attaques, le groupe en avait au secteur financier de ce pays. Celle-ci est plutôt dirigée contre des entreprises. Seulement, les hackers auraient sous-estimé les capacités de diffusion du malware. Raison pour laquelle il est devenu incontrôlable ».

Ainsi, pas d’attaque frontale de la firme de sécurité vis-à-vis d’un État. En matière de cybersécurité, les conclusions sont tirées avec la plus grande prudence. Il est simplement question d’un groupe que d’autres acteurs de la scène ont eu à lier à la Russie dans le cadre d’autres campagnes. Du point de vue du Service de sécurité ukrainien cependant, ces développements sont suffisants pour, sans détour, pointer un doigt accusateur sur la Russie.

Igor Mozorov, un membre de la Chambre haute du parlement russe, a qualifié les accusations de l’Ukraine contre la Russie de « fiction » et a ajouté que cette cyberattaque serait plutôt l’œuvre des Américains.

Source : Go, ESET

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Des pirates provoquent une nouvelle panne d'électricité en Ukraine, la campagne d'attaques a ciblé d'autres infrastructures sensibles
Avatar de Florian_PB Florian_PB - Membre averti https://www.developpez.com
le 03/07/2017 à 12:04
Là c'est une surprise pour pas grand monde que la Russie soit pointée du doigt, et encore moins que celle-ci désigne les américains. Bientôt une cyberguerre froide (même si elle a déjà commencée en réalité).
Avatar de Patrick Ruiz Patrick Ruiz - Chroniqueur Actualités https://www.developpez.com
le 04/07/2017 à 8:39
Petya/NotPetya : erreur des experts d’ESET et Microsoft sur la cible initiale du wiper ?
La compagnie ukrainienne Intellect Service se dédouane

« Microsoft a maintenant des preuves que les infections par le ransomware sont dues au processus de mise à jour du logiciel MEDoc », peut-on lire sur le bulletin de sécurité de Microsoft – daté du 27 juin dernier – relatif au wiper Petya/NotPetya.

Du côté de la firme sécurité ESET, même son de cloche avec une déclaration similaire : « des attaquants ont compromis avec succès le logiciel comptable M.E.Doc populaire dans plusieurs industries en Ukraine dont celle du domaine des finances. »

« Plusieurs d’entre elles ont exécuté une mise à jour de M.E.Doc corrompue par un cheval de Troie, ce qui a permis aux attaquants de lancer cette campagne globale », ont ajouté les experts de la firme de sécurité ESET dans leur bulletin de sécurité daté du 27 juin.

La société ukrainienne Intellect Service développe le logiciel comptable M.E.Doc. Si l’on s’en tient aux chiffres dont Reuters s’est fait le relais, ce dernier fait partie du quotidien de 80 % d’entreprises ukrainiennes qui comptent pour 400 000 opérateurs sur ce logiciel, des chiffres qui, de l’avis des enquêteurs dont la police ukrainienne, font du logiciel comptable, la cible de choix pour atteindre le plus de victimes en une fois.

Ainsi, depuis le 27 juin, jour où le wiper a commencé à sévir, Sergei et Olesya Sinnik, fondateurs de l’entreprise familiale Intellect Service, qui développe le logiciel comptable, sont accusés d’être à l’origine de la propagation du wiper. Désormais des poursuites judiciaires les guettent d’après ce que rapporte Reuters lundi.

Serhiy Demeduyk, chef de la cyberpolice ukrainienne a en effet déclaré que « nous avons un souci avec l’équipe dirigeante de cette entreprise parce qu’elle était informée de l’infection du logiciel, mais n’a pris aucune disposition. En cas de confirmation des informations initiales en notre possession, des poursuites suivront. »

Au lendemain des attaques initiales du wiper, les fondateurs d’Intellect, déjà pilonnés de toutes parts, avaient déjà eu à réfuter toutes les allégations selon lesquelles leur logiciel est à l’origine de la propagation du wiper. Faisant suite aux toutes récentes menaces de poursuites judiciaires lancées par la cyberpolice ukrainienne, ils se sont à nouveau exprimés.

« Nous avons analysé notre produit et n’y avons découvert aucune trace d’infection. Les mises à jour, transmises bien avant que les cas d’infection ne soient signalés, ont été analysées et ne sont pas infectées », a déclaré Olesya Linnik, qui a ajouté que « la cyberpolice investigue actuellement sur les logs de nos serveurs et, jusqu’ici, rien n’indique que nos systèmes sont à l’origine de la propagation du malware. »

Si des doutes subsistent encore quant au vecteur initial de propagation – l’une des difficultés récurrentes en matière de cyberattaques – les dégâts du wiper pour leur part sont plus palpables. À ce jour, un minimum de 80 institutions – dont des institutions gouvernementales et des banques – a été touché.

Source : Reuters

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Petya/NotPetya serait un wiper déguisé en ransomware, son objectif serait de supprimer irrévocablement les données de ses victimes
Avatar de pik_0fr pik_0fr - Nouveau membre du Club https://www.developpez.com
le 04/07/2017 à 9:27
Citation Envoyé par philou44300
Merci pour vos retours et effectivement Jipété je ne comprend pas aussi en quoi cela empêche de démarrer à partir d'un live cd. Je pense également que cela empêche de récupérer les données à partir d'un live cd car, comme expliqué par Grimly, cela doit chiffrer ce qui contient les emplacements des fichiers sur le disque dûr (mais je ne m'y connais pas assez dans ce domaine).
crypté la table NTFS c'est comme crypté le sommaire d'un livre et de dire où est le paragraphe sur tel chose. A part scanner le disque en entier c'est la galère. Il existe des outils pour reconstruire des tables mais le temps d'action est démentiel.

Et pour moi aussi, le cryptage de la table ne peut pas empêcher le boot sur liveCD ou USB (qui est géré par le Bios de la Carte Mère), mais la récupération. J'ai lu par contre que c'est un cryptage de la MBR qui oblige le reboot sur Petya donc si on est suffisamment rapide en réaction, lorsqu'il reboot la première fois on doit pouvoir sauver les données elles même, mais il faudra reconstitué la table NTFS. Au delà du premier reboot il crypte aussi les données.
Avatar de Coriolan Coriolan - Chroniqueur Actualités https://www.developpez.com
le 06/07/2017 à 19:48
NotPetya : les attaquants ont incorporé une porte dérobée dans un logiciel comptable très populaire
Pour propager le malware

Le 27 juin, une nouvelle cyberattaque a pris par surprise les ordinateurs en Ukraine et du monde entier. Cette attaque s’est appuyée sur le malware Petya, un wiper déguisé en ransomware. Son objectif est de supprimer irrévocablement les données de ses victimes même après le paiement de la rançon de 300 $ demandée.

Selon la firme de sécurité Eset, des pirates de haut niveau ont compromis avec succès le logiciel de comptabilité M.E.Doc qui est très utilisé en Ukraine pour propager le malware. Les chercheurs en sécurité ont pu trouver une « porte dérobée » injectée par les attaquants dans l’un des modules officiels de M.E.Doc. Les pirates ont eu tout le temps nécessaire pour planifier leur attaque. En effet, le fichier ZvitPublishedObjects.dll contenant la faille a été livré aux utilisateurs de M.E.Doc depuis le 15 mai, soit six semaines avant le début de l’attaque NotPetya. En réalité, au moins trois mises à jour du logiciel avaient été publiées avec la porte dérobée depuis le 14 avril, un constat confirmé par la firme de sécurité Talos. Selon Eset, les pirates auraient eu un accès au code source de M.E.Doc depuis le début d’année.

« Comme le montre notre analyse, c’est une opération bien planifiée et bien exécutée, » a écrit Anton Cherepanov, chercheur en sécurité senior chez Eset. « Nous pensons que les attaquants ont eu accès au code source de M.E.Doc. Ils ont eu le temps d’étudier le code et incorporer une porte dérobée très furtive et astucieuse. Une installation complète de M.E.Doc a une taille de 1,5 GB et on n’a aucun moyen de vérifier qu’il y a d’autres backdoors qui ont été injectés. »

La police ukrainienne a saisi mardi les ordinateurs et les logiciels utilisés par Intellect Service, l’entreprise qui développe le logiciel comptable. Une vidéo publiée sur YouTube montre des agents de police lourdement armés en train d’investir les bureaux de l’entreprise et poser des questions aux employés. La police ukrainienne a préconisé à tous les utilisateurs du logiciel d’arrêter son utilisation et d’empêcher tous les ordinateurs avec une version installée de l'application d’accéder à Internet. Les autorités espèrent avec cette mesure contenir la propagation du malware et empêcher une nouvelle diffusion.

Depuis le début de l’attaque, les développeurs de M.E.Doc ont émis des communiqués contradictoires. Au début, ils ont informé que leurs serveurs ont été compromis, puis l’entreprise a dit qu’elle n’était pas impliquée dans cette attaque avant de déclarer qu’elle coopère désormais avec les enquêteurs. Le colonel Serhiy Demydiuk, le chef de la cyberpolice ukrainienne a informé Associated Press que l’entreprise qui développe le logiciel a une responsabilité pénale dans l’affaire. Il a en effet déclaré que « nous avons un souci avec l’équipe dirigeante de cette entreprise parce qu’elle était informée de l’infection du logiciel, mais n’a pris aucune disposition. En cas de confirmation des informations initiales en notre possession, des poursuites suivront. »

Sur sa page Facebook, la police ukrainienne a informé être parvenue à empêcher une autre attaque qui aurait dû avoir lieu le 4 juillet. Cette attaque s’appuie également sur le logiciel M.E.Doc comme point de départ. « L'attaque a été arrêtée. Les serveurs ont été retirés et portent des traces de l'impact des cybercriminels, agissant évidemment depuis la Fédération de Russie », a déclaré Arsen Avakov.

Les chercheurs essaient toujours de savoir comment Notpetya s’est propagé d’un ordinateur à un ordinateur dans les réseaux infectés. Mais dès le début, le mécanisme de mise à jour de M.E.Doc a été soupçonné comme étant l’élément compromis par les pirates pour infecter furtivement les utilisateurs avec le malware.

NotPetya a utilisé des exploits de Windows développés par la NSA. Les pirates les ont combinés avec des outils pour collecter des mots de passe à partir des ordinateurs infectés et utilisés pour le partage de fichiers dans les réseaux locaux. En conséquence, le malware a pu se propager seul et infecter de nombreuses entreprises et organisations en Ukraine et dans le monde entier. Petya/NotPetya chiffre les fichiers uniquement sur les lecteurs fixes de l’ordinateur en utilisant des algorithmes AES-128. Il faut également noter qu’une clé est créée pour chaque disque. Le malware va aussi chiffrer le MFT (Master File Table), et dès que le chiffrement est terminé, il affiche la demande de rançon.

Il semble toutefois que ça ne servira à rien aux victimes d’essayer de payer les rançons. Des analyses séparées de Kaspersky et de la firme de sécurité Comae Technologies ont en effet abouti à une même conclusion : Petya/NotPetya ne semble pas intéressé par l’argent de ses victimes. Il veut tout simplement détruire leurs données. Jusqu’à présent, les attaquants ont reçu au moins 13 260 dollars pour fournir une clé de déchiffrement des données.

Source : Eset

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Petya/NotPetya : erreur des experts d'ESET et Microsoft sur la cible initiale du wiper ? La compagnie ukrainienne Intellect Service se dédouane
L'Ukraine attribue la paternité du wiper Petya/NotPetya à la Russie en s'appuyant sur des données de la firme ESET entre autres
Petya/NotPetya serait un wiper déguisé en ransomware, son objectif serait de supprimer irrévocablement les données de ses victimes
Offres d'emploi IT
Consultant(e) CRM
altima - Nord Pas-de-Calais - Roubaix (59100)
Data Team Manager = Big data boss H/F
Aramis - Ile de France - Arcueil (94110)
Développeur web confirmé (H/F)
Urban Linker - Ile de France - Paris (75000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil