NotPetya : les attaquants ont incorporé une porte dérobée dans un logiciel comptable très populaire
Pour propager le malware

Le , par Coriolan

169PARTAGES

9  0 
Le 27 juin, une nouvelle cyberattaque a pris par surprise les ordinateurs en Ukraine et du monde entier. Cette attaque s’est appuyée sur le malware Petya, un wiper déguisé en ransomware. Son objectif est de supprimer irrévocablement les données de ses victimes même après le paiement de la rançon de 300 $ demandée.

Selon la firme de sécurité Eset, des pirates de haut niveau ont compromis avec succès le logiciel de comptabilité M.E.Doc qui est très utilisé en Ukraine pour propager le malware. Les chercheurs en sécurité ont pu trouver une « porte dérobée » injectée par les attaquants dans l’un des modules officiels de M.E.Doc. Les pirates ont eu tout le temps nécessaire pour planifier leur attaque. En effet, le fichier ZvitPublishedObjects.dll contenant la faille a été livré aux utilisateurs de M.E.Doc depuis le 15 mai, soit six semaines avant le début de l’attaque NotPetya. En réalité, au moins trois mises à jour du logiciel avaient été publiées avec la porte dérobée depuis le 14 avril, un constat confirmé par la firme de sécurité Talos. Selon Eset, les pirates auraient eu un accès au code source de M.E.Doc depuis le début d’année.

« Comme le montre notre analyse, c’est une opération bien planifiée et bien exécutée, » a écrit Anton Cherepanov, chercheur en sécurité senior chez Eset. « Nous pensons que les attaquants ont eu accès au code source de M.E.Doc. Ils ont eu le temps d’étudier le code et incorporer une porte dérobée très furtive et astucieuse. Une installation complète de M.E.Doc a une taille de 1,5 GB et on n’a aucun moyen de vérifier qu’il y a d’autres backdoors qui ont été injectés. »

La police ukrainienne a saisi mardi les ordinateurs et les logiciels utilisés par Intellect Service, l’entreprise qui développe le logiciel comptable. Une vidéo publiée sur YouTube montre des agents de police lourdement armés en train d’investir les bureaux de l’entreprise et poser des questions aux employés. La police ukrainienne a préconisé à tous les utilisateurs du logiciel d’arrêter son utilisation et d’empêcher tous les ordinateurs avec une version installée de l'application d’accéder à Internet. Les autorités espèrent avec cette mesure contenir la propagation du malware et empêcher une nouvelle diffusion.

Depuis le début de l’attaque, les développeurs de M.E.Doc ont émis des communiqués contradictoires. Au début, ils ont informé que leurs serveurs ont été compromis, puis l’entreprise a dit qu’elle n’était pas impliquée dans cette attaque avant de déclarer qu’elle coopère désormais avec les enquêteurs. Le colonel Serhiy Demydiuk, le chef de la cyberpolice ukrainienne a informé Associated Press que l’entreprise qui développe le logiciel a une responsabilité pénale dans l’affaire. Il a en effet déclaré que « nous avons un souci avec l’équipe dirigeante de cette entreprise parce qu’elle était informée de l’infection du logiciel, mais n’a pris aucune disposition. En cas de confirmation des informations initiales en notre possession, des poursuites suivront. »

Sur sa page Facebook, la police ukrainienne a informé être parvenue à empêcher une autre attaque qui aurait dû avoir lieu le 4 juillet. Cette attaque s’appuie également sur le logiciel M.E.Doc comme point de départ. « L'attaque a été arrêtée. Les serveurs ont été retirés et portent des traces de l'impact des cybercriminels, agissant évidemment depuis la Fédération de Russie », a déclaré Arsen Avakov.

Les chercheurs essaient toujours de savoir comment Notpetya s’est propagé d’un ordinateur à un ordinateur dans les réseaux infectés. Mais dès le début, le mécanisme de mise à jour de M.E.Doc a été soupçonné comme étant l’élément compromis par les pirates pour infecter furtivement les utilisateurs avec le malware.

NotPetya a utilisé des exploits de Windows développés par la NSA. Les pirates les ont combinés avec des outils pour collecter des mots de passe à partir des ordinateurs infectés et utilisés pour le partage de fichiers dans les réseaux locaux. En conséquence, le malware a pu se propager seul et infecter de nombreuses entreprises et organisations en Ukraine et dans le monde entier. Petya/NotPetya chiffre les fichiers uniquement sur les lecteurs fixes de l’ordinateur en utilisant des algorithmes AES-128. Il faut également noter qu’une clé est créée pour chaque disque. Le malware va aussi chiffrer le MFT (Master File Table), et dès que le chiffrement est terminé, il affiche la demande de rançon.

Il semble toutefois que ça ne servira à rien aux victimes d’essayer de payer les rançons. Des analyses séparées de Kaspersky et de la firme de sécurité Comae Technologies ont en effet abouti à une même conclusion : Petya/NotPetya ne semble pas intéressé par l’argent de ses victimes. Il veut tout simplement détruire leurs données. Jusqu’à présent, les attaquants ont reçu au moins 13 260 dollars pour fournir une clé de déchiffrement des données.

Source : Eset

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Petya/NotPetya : erreur des experts d'ESET et Microsoft sur la cible initiale du wiper ? La compagnie ukrainienne Intellect Service se dédouane
L'Ukraine attribue la paternité du wiper Petya/NotPetya à la Russie en s'appuyant sur des données de la firme ESET entre autres
Petya/NotPetya serait un wiper déguisé en ransomware, son objectif serait de supprimer irrévocablement les données de ses victimes

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de marsupial
Membre expert https://www.developpez.com
Le 04/02/2019 à 8:55
Quelle bande d'escrocs ces assureurs !
2  0 
Avatar de spawntux
Membre confirmé https://www.developpez.com
Le 04/08/2017 à 17:31
Bonjour,

En résumé on a un cabinet d'avocat qui tente de se faire du fric à droite et a gauche .

Tip top tout ca
1  0 
Avatar de Madmac
Membre éprouvé https://www.developpez.com
Le 03/02/2019 à 20:21
Il faut-être culotté pour présumer des motifs des auteur, sans les connaître. Mais pour éviter de devoir payer 100 millions, j'essayerais aussi de vendre ce type de pommade.
1  0 
Avatar de walloon
Candidat au Club https://www.developpez.com
Le 22/07/2017 à 9:54
https://ransomfree.cybereason.com/

A+
Remy
0  0 
Avatar de gangsoleil
Modérateur https://www.developpez.com
Le 05/02/2019 à 12:27
L'attitude de l'assureur ne m'étonne pas : pour le moment, ce genre de risques n'est pas directement pris en compte dans les barêmes des assurances, et il est donc assez logique qu'ils refusent de payer en se disant que s'ils payent ici, c'est la porte ouverte à d'autres règlements.

Il est probable qu'on voit les primes d'assurance augmenter si ce risque doit être couvert.
0  0 
Avatar de CoderInTheDark
Membre expérimenté https://www.developpez.com
Le 06/02/2019 à 15:29
Il me vient une pensée d'un grand penseur, qui aimait les français

Al Bundy (Maried with children)
"
* Insurance is like marriage.
You pay and pay but you never get anything back."
0  1 
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web