L’une des tendances actuelles des malwares proliférant sur le net est la mode des ransomwares. Ce sont des programmes capables de prendre en otage des données personnelles qui ne seront débloquées qu’après payement d’une rançon par la victime. Les ransomwares sont basés sur des algorithmes de chiffrement.Symantec a suivi de près l’un d’entre eux au cours des derniers mois et vient de faire une découverte inattendue. Il s’agit vraisemblablement du ransomware Trojan.Cryptodefense.
Ce ransomware repose sur l’utilisation de la PKI de Microsoft et des API Windows pour générer les clés publiques et privées, respectivement utilisées pour le chiffrement des données (leur prise en otage) ainsi que pour leur déchiffrement suite au payement de la rançon. L’algorithme utilisé est le RSA dans sa version 2048 bits. La génération des deux clés se fait via la machine de la victime et la clé privée est renvoyée au serveur des attaquants.
Toutefois, Symantec révèle ce qui suit. « A cause d'une faiblesse dans l’implémentation de la fonctionnalité cryptographique, les attaquants ont laissé à leurs otages les clés pour s’extirper de cette situation. » En effet, les attaquants ont omis un fait important : supprimer la clé privée de la machine de la victime. Une copie existe dans le répertoire Application Data.
Ainsi, une personne avisée peut utiliser la clé privée disponible sur la machine de la victime pour le déchiffrement. Néanmoins, cela est rarement le cas, les victimes préfèrent alors payer la somme demandée (500 $ ou 500 €) dans les 4 jours suivants.
CryptoDefense a vu le jour en février 2014 et a rapidement fait plusieurs victimes à travers 100 pays, principalement aux USA, Royaume-Uni, Canada, Australie, Japon, Inde, Italie et Pays-Bas. Symantec a été en mesure de bloquer plus de 11.000 infections et estime à 34.000 $ la valeur des seuls bitcoins perçus par son auteur.
Source : annonce de Symantec
Et vous ?
Qu’en pensez-vous ? 
Envoyé par Arsene Newman
