CryptoLocker : le ransomware qui menace de bloquer tous vos fichiers
L'un des plus dangereux de l'heure
Le 2013-10-31 22:46:54, par Stéphane le calme, Chroniqueur Actualités
CryptoLocker est le premier "ransomware" à aller au bout de sa menace et à effectivement bloquer les données. Contrairement à plusieurs de ses semblables, CryptoLocker empêche toute récupération des données sans la clé fournie en cas de paiement de la rançon.
CryptoLocker s'attaque aux ordinateurs fonctionnant sous Windows. Le ransomware se présente souvent sous la forme de pièce jointe. Certains disent qu'il se répand également à travers le botnet Zeus. Une fois sur votre machine, il chiffre systématiquement tous les documents qui sont stockés en local, ainsi que ceux qui sont stockés sur les lecteurs réseau mappés ou sur des stockages amovibles connectés. Pour ce faire, le malware utilise une clé de chiffrement RSA à 2048 bits et la clé de déchiffrement ne sera communiquée qu'au moment du paiement de la rançon.
La victime a alors 100 heures pour payer une rançon d'environ 219 euros (300 dollars), sous peine de voir la totalité de ses fichiers (photos, vidéos, etc) être bloquée. Un paiement qu'il faudra effectuer avec une carte de débit rechargeable Green Dot ou en Bitcoin, la monnaie électronique. Dans le cas contraire, la clé de déchiffrement est automatiquement détruite et l'accès aux fichiers est perdu de manière irréversible.
Les experts en sécurité s'accordent à dire que l'un des meilleurs moyens de prévenir les attaques du malware est de faire attention aux liens qu'on reçoit en courriel, sur lesquels on clique, parce qu'il se répand principalement via des hameçonnages de courriels.
Fort heureusement, l'expert en sécurité Nick Shaw a créé un logiciel, qu'il a baptisé CryptoPrevent, qui applique un certain nombre de paramètres à votre installation de Windows qui empêchent l'exécution de CryptoLocker, et qui a fait ses preuves dans les environnements Windows 7 et Windows XP.
Dans ces circonstances, il est impératif de penser à faire des sauvegardes de ses fichiers sur des stockages amovibles ou sur le Cloud. Faut-il payer ou non la rançon demandée ? La société de sécurité informatique Sophos s'est penchée sur un certain nombre de fichiers qui ont été chiffrés par ce malware particulier, et n'a pas pu trouver de faille permettant de se passer du paiement de la rançon. Il devient donc clair que le seul moyen de récupérer vos données est de payer la rançon. Cependant, cela pose un grand dilemme éthique. En payant la rançon, vous faites de ce genre de " rapt de données " une activité rentable qui va donc se perpétuer. Toutefois, si vous ne payez pas la rançon, vous perdez l'accès à tout ce que vous avez stocké sur votre ordinateur.
Source : Sophos
Et vous ?
CryptoLocker s'attaque aux ordinateurs fonctionnant sous Windows. Le ransomware se présente souvent sous la forme de pièce jointe. Certains disent qu'il se répand également à travers le botnet Zeus. Une fois sur votre machine, il chiffre systématiquement tous les documents qui sont stockés en local, ainsi que ceux qui sont stockés sur les lecteurs réseau mappés ou sur des stockages amovibles connectés. Pour ce faire, le malware utilise une clé de chiffrement RSA à 2048 bits et la clé de déchiffrement ne sera communiquée qu'au moment du paiement de la rançon.
La victime a alors 100 heures pour payer une rançon d'environ 219 euros (300 dollars), sous peine de voir la totalité de ses fichiers (photos, vidéos, etc) être bloquée. Un paiement qu'il faudra effectuer avec une carte de débit rechargeable Green Dot ou en Bitcoin, la monnaie électronique. Dans le cas contraire, la clé de déchiffrement est automatiquement détruite et l'accès aux fichiers est perdu de manière irréversible.
Les experts en sécurité s'accordent à dire que l'un des meilleurs moyens de prévenir les attaques du malware est de faire attention aux liens qu'on reçoit en courriel, sur lesquels on clique, parce qu'il se répand principalement via des hameçonnages de courriels.
Fort heureusement, l'expert en sécurité Nick Shaw a créé un logiciel, qu'il a baptisé CryptoPrevent, qui applique un certain nombre de paramètres à votre installation de Windows qui empêchent l'exécution de CryptoLocker, et qui a fait ses preuves dans les environnements Windows 7 et Windows XP.
[ame="http://www.youtube.com/watch?v=M4dNuZYGgMM"]CryptoPrevent en action[/ame]
Dans ces circonstances, il est impératif de penser à faire des sauvegardes de ses fichiers sur des stockages amovibles ou sur le Cloud. Faut-il payer ou non la rançon demandée ? La société de sécurité informatique Sophos s'est penchée sur un certain nombre de fichiers qui ont été chiffrés par ce malware particulier, et n'a pas pu trouver de faille permettant de se passer du paiement de la rançon. Il devient donc clair que le seul moyen de récupérer vos données est de payer la rançon. Cependant, cela pose un grand dilemme éthique. En payant la rançon, vous faites de ce genre de " rapt de données " une activité rentable qui va donc se perpétuer. Toutefois, si vous ne payez pas la rançon, vous perdez l'accès à tout ce que vous avez stocké sur votre ordinateur.
Source : Sophos
Et vous ?
-
TryphMembre éméritetant que tu nous expliques pas comment on "retire ce virus en moins de 5 minutes", tu as de grande chances de ne pas être pris au sérieux... voire de passer pour un mythomane.le 04/11/2013 à 17:08
-
Aurelien PlazzottaMembre extrêmement actif« Nous n'avons jamais été compromis »le 21/11/2013 à 9:36
-
NeckaraInactifBonjour,
Les utilisateurs sont invités à être prudent sur ce qu'ils téléchargent. Pas seulement les utilisateurs dans l'illégalité mais tous les utilisateurs.
Et cet acte de prudence passerait par se méfier des téléchargement p2p et des "cracks".
Donc, pour moi, ceci serait plus incitation à rester dans la légalité.
C'est comme mettre en garde contre les dangers de la drogue, ce n'est pas dire implicitement que les drogues sont "légales" mais plus déconseiller la prise de drogue et si possible "limiter les dégâts".le 09/01/2014 à 9:50 -
Chauve sourisMembre expertSeulement si Linux dépasse un jour le seuil de 1 % d'utilisateurs il aura autant de malwares que Windows et même plus puisque son code est ouvert.le 01/11/2013 à 12:12
-
n5Rzn1D9dCMembre avertiBah disons qu'il faut au minimum Vista.
Je me rappel quand il est sortie, la plupart des gens disaient (meuh, vista c'est d'eul merde).
Le truc c'est que Vista dispose de l'ASLR, en plus d'avoir une sécurité bien meilleure que Xp..
Faire une injection sous Xp, c'est un jeux d'enfant.
Easy de faire un malware et l'injecter dans chacun des processus.
Sous Vista, CreateRemoteThread ne peux plus être appelé par un autre processus que le processus cible.
Sous Linux, l'ASLR est implémenté depuis le kernel 2.6.20.le 01/11/2013 à 13:42 -
benymyponyMembre régulierFaudra m'expliquer quelque chose quand même...
Comment le malware peut crypter "tous" les fichiers de manière discrète et rapide ?!
J'imagine que ça consomme beaucoup de CPU, que c'est une opération longue.
Donc il doit être facile de repérer cela.
Et n'y a t-il alors pas moyen de récupérer les fichiers qui n'ont pas encore été crypter, en éteignant de force l'ordinateur puis en accédant au disque dur de manière externe ?
Benyle 02/11/2013 à 11:46 -
chrtopheResponsable SystèmesJe trouve pas idiot qu'ils aient dit qu'ils ont été obligé de payer. Ca sensibilise, car personne n'est à l'abri, par contre c'est chaud pour le responsable informatique, pas par rapport au rançonware, mais pour l'absence de sauvegarde.le 21/11/2013 à 21:39
-
Chauve sourisMembre expertEffectivement c'est un rappel de devoir faire des sauvegardes régulièrement en attendant qu'un patch vienne vacciner le système. Et bibi qui vous parle ose dire qu'il n'a jamais perdu de données bien que les pannes de disques durs n'arrivent pas qu'aux autres (j'en ai eu quatre qui ont dégagé en trois mois).
Au sujet des logiciels de sauvegardes, mon expérience personnelle (si ça peut aider) :
- Ceux intégrés aux Windows : trop limités
- Acronis True Image Home : trop lent, manque de fiabilité et refuse de fonctionner avec un Windows Server.
- Image for Windows : fonctionnel mais un peu limité en possibilités (ne fait pas les sauvegardes de type fichiers, mais uniquement partitions).
- O&O Diskimage : je ne l'ai pas approfondi mais me semble analogue au précédent.
- EaseUS Todo Backup Advanced Server : celui que j'ai retenu. Il fait tous les types de sauvegardes, y compris sur le LAN sans que la lenteur soit prohibitive (comme avec True Image). Ce qui permet de laisser le disque de sauvegarde sur le serveur (je suis un chaud partisan des tiroirs à disques durs car en mode AHCI ils se mettent et se retirent comme des clés USB), de programmer les sauvegardes pour tout le monde et de ne s'occuper de rien.le 01/11/2013 à 12:28 -
La NSA pourrait se faire pardonner et nous aider à déchiffrer les fichiers non?
Effectivement, le meilleur moyen de prévenir pour les particuliers est de faire des sauvegardes régulières sur un disque externe qu'on ne branche que le temps de la sauvegarde et en prenant les précautions nécessaires. Vu le prix des supports c'est dommage de s'en priver.le 02/11/2013 à 13:37 -
Pat_AfterMoonMembre avertiJ'ai été victime d'un virus similaire il y a plus d'un an. Il s'était introduit chez moi par une faille du plugin Java (AVG n'a rien vu).
Le virus a travaillé en tache de fond de manière discrète pendant plus de 1h30. Il a crypté tous les fichiers jpeg, doc et xls de moins de 2 ans.
Puis il s'est fait passer pour Microsoft et m'a affiché des messages plutôt bien faits, me signalant qu'il y avait un problème sur mon ordinateur et m'invitant à faire plusieurs manips pour réparer ça (défrag, ...etc.).
Ensuite, si cela ne fonctionnait pas, il me proposait un service de maintenance automatique à 75$. Une rançon de 75 dollars avec tous les moyens de paiement imaginables.
Par chances je n'avais aucunes photos personnelles sur ce PC et le virus n'a pas eu l'idée de crypter d'autres types d'extensions comme odt ou ods. Donc, je n'ai rien payé et je n'ai pas perdu grand chose. Ce n'est que bien plus tard que j'ai découvert que les fichiers n'était pas vraiment cryptés, seul les 4 premiers octets étaient modifiés. Il est possible de récupérer les fichiers en bidouillant.
En tout cas ce genre de virus fait froid dans le dos. Et ceux qui crois s'en prémunir à coup sur sont bien naïfs.le 03/11/2013 à 22:06