NotPetya : les attaquants ont incorporé une porte dérobée dans un logiciel comptable très populaire

Le 27 juin, une nouvelle cyberattaque a pris par surprise les ordinateurs en Ukraine et du monde entier. Cette attaque s’est appuyée sur le malware Petya, un wiper déguisé en ransomware. Son objectif est de supprimer irrévocablement les données de ses victimes même après le paiement de la rançon de 300 $ demandée.

Selon la firme de sécurité Eset, des pirates de haut niveau ont compromis avec succès le logiciel de comptabilité M.E.Doc qui est très utilisé en Ukraine pour propager le malware. Les chercheurs en sécurité ont pu trouver une « porte dérobée » injectée par les attaquants dans l’un des modules officiels de M.E.Doc. Les pirates ont eu tout le temps nécessaire pour planifier leur attaque. En effet, le fichier ZvitPublishedObjects.dll contenant la faille a été livré aux utilisateurs de M.E.Doc depuis le 15 mai, soit six semaines avant le début de l’attaque NotPetya. En réalité, au moins trois mises à jour du logiciel avaient été publiées avec la porte dérobée depuis le 14 avril, un constat confirmé par la firme de sécurité Talos. Selon Eset, les pirates auraient eu un accès au code source de M.E.Doc depuis le début d’année.

« Comme le montre notre analyse, c’est une opération bien planifiée et bien exécutée, » a écrit Anton Cherepanov, chercheur en sécurité senior chez Eset. « Nous pensons que les attaquants ont eu accès au code source de M.E.Doc. Ils ont eu le temps d’étudier le code et incorporer une porte dérobée très furtive et astucieuse. Une installation complète de M.E.Doc a une taille de 1,5 GB et on n’a aucun moyen de vérifier qu’il y a d’autres backdoors qui ont été injectés. »

La police ukrainienne a saisi mardi les ordinateurs et les logiciels utilisés par Intellect Service, l’entreprise qui développe le logiciel comptable. Une vidéo publiée sur YouTube montre des agents de police lourdement armés en train d’investir les bureaux de l’entreprise et poser des questions aux employés. La police ukrainienne a préconisé à tous les utilisateurs du logiciel d’arrêter son utilisation et d’empêcher tous les ordinateurs avec une version installée de l'application d’accéder à Internet. Les autorités espèrent avec cette mesure contenir la propagation du malware et empêcher une nouvelle diffusion.

Depuis le début de l’attaque, les développeurs de M.E.Doc ont émis des communiqués contradictoires. Au début, ils ont informé que leurs serveurs ont été compromis, puis l’entreprise a dit qu’elle n’était pas impliquée dans cette attaque avant de déclarer qu’elle coopère désormais avec les enquêteurs. Le colonel Serhiy Demydiuk, le chef de la cyberpolice ukrainienne a informé Associated Press que l’entreprise qui développe le logiciel a une responsabilité pénale dans l’affaire. Il a en effet déclaré que « nous avons un souci avec l’équipe dirigeante de cette entreprise parce qu’elle était informée de l’infection du logiciel, mais n’a pris aucune disposition. En cas de confirmation des informations initiales en notre possession, des poursuites suivront. »

Sur sa page Facebook, la police ukrainienne a informé être parvenue à empêcher une autre attaque qui aurait dû avoir lieu le 4 juillet. Cette attaque s’appuie également sur le logiciel M.E.Doc comme point de départ. « L'attaque a été arrêtée. Les serveurs ont été retirés et portent des traces de l'impact des cybercriminels, agissant évidemment depuis la Fédération de Russie », a déclaré Arsen Avakov.

Les chercheurs essaient toujours de savoir comment Notpetya s’est propagé d’un ordinateur à un ordinateur dans les réseaux infectés. Mais dès le début, le mécanisme de mise à jour de M.E.Doc a été soupçonné comme étant l’élément compromis par les pirates pour infecter furtivement les utilisateurs avec le malware.

NotPetya a utilisé des exploits de Windows développés par la NSA. Les pirates les ont combinés avec des outils pour collecter des mots de passe à partir des ordinateurs infectés et utilisés pour le partage de fichiers dans les réseaux locaux. En conséquence, le malware a pu se propager seul et infecter de nombreuses entreprises et organisations en Ukraine et dans le monde entier. Petya/NotPetya chiffre les fichiers uniquement sur les lecteurs fixes de l’ordinateur en utilisant des algorithmes AES-128. Il faut également noter qu’une clé est créée pour chaque disque. Le malware va aussi chiffrer le MFT (Master File Table), et dès que le chiffrement est terminé, il affiche la demande de rançon.

Il semble toutefois que ça ne servira à rien aux victimes d’essayer de payer les rançons. Des analyses séparées de Kaspersky et de la firme de sécurité Comae Technologies ont en effet abouti à une même conclusion : Petya/NotPetya ne semble pas intéressé par l’argent de ses victimes. Il veut tout simplement détruire leurs données. Jusqu’à présent, les attaquants ont reçu au moins 13 260 dollars pour fournir une clé de déchiffrement des données.

Source : Eset

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Petya/NotPetya : erreur des experts d'ESET et Microsoft sur la cible initiale du wiper ? La compagnie ukrainienne Intellect Service se dédouane
L'Ukraine attribue la paternité du wiper Petya/NotPetya à la Russie en s'appuyant sur des données de la firme ESET entre autres
Petya/NotPetya serait un wiper déguisé en ransomware, son objectif serait de supprimer irrévocablement les données de ses victimes