Lumières sur la sécurité

mardi 30 mai 2017

Rappelons que WannaCry a utilisé les outils et les vulnérabilités publiés par le groupe The Shadow Brokers qui les a volé chez Equation Group soupçonné d'avoir des liens avec l'Agence de sécurité nationale américaine (NSA).

"L'épidémie" WannaCry paraît assez étrange :

1. le système de propagation de WannaCry diffère sensiblement de celui des ransomwares ordinaires qui sont le plus souvent diffusés via des spams, et dont le nombre d’utilisateurs touchés dépend de la quantité d’envois. WannaCry, lui, ressemble à un système de vente pyramidale : chaque nouvel ordinateur contaminé tente d'infecter le réseau local et d'autres adresses Internet. Cela ressemble aux épidémies du début du siècle. Mais quel résultat ! Melissa avait infecté 20% des ordinateurs dans le monde entier. I Love You ! des millions de PC en seulement quelques heures. Internet est peut-être mieux protégé depuis ?

   Plus de 18% des utilisateurs utilisent sur leurs PC des versions Windows sans licence, 23% d’entre eux désactivent le service Windows Update.

   Et quid de WannaCry ? Selon diverses estimations, le nombre d'ordinateurs contaminés varie entre 200 et 400 000.

   Comme le rapporte MalwareHunter, le 19 mai, XData a infecté quatre fois plus d'utilisateurs ukrainiens que le ver WannaCry tristement célèbre durant toute la semaine.

   http://www.securitylab.ru/news/486205.php

   Avez vous entendu les médias parler de XData (alias Trojan.Encoder.11526 dans la classification Dr.Web )?

2. L'attaque a touché presque exclusivement les plus grandes entreprises et les utilisateurs particuliers, de sorte que le nombre de PME touchées est insignifiant.

   Voici les réponses des partenaires de Doctor Web à la question de savoir si des PME parmi leurs clients ont été touchées (nous avons retiré les noms des partenaires) :

   M : Pas encore
A : Non
A : Non
B : Non
B : parmi nos clients, personne n'a été touché mais tout le monde a été effrayé :)

   N'est-ce pas bizarre pour une méthode de propagation aussi puissante ? Bien évidemment. Mais le buzz médiatique a été garanti.

   Qu’en pensez-vous ? Pourquoi ce ransomware a-t-il autant attiré l'attention de la presse ?

   Question posée au cours d'un webinaire pour les partenaires de Doctor Web.

3. La possibilité de déchiffrement n'est pas garantie, car les clés de chiffrement présentées à l'utilisateur à titre d'exemple et les clés réellement nécessaires au déchiffrement sont différentes.
4. Le montant de la rançon (à partir de 300 $ US en Bitcoin) représente une somme modique pour la majorité des entreprises infectées. Et, de plus, beaucoup d'entre elles ne paieront pas pour ne pas céder au chantage et préserver leur réputation.

Le résultat de cette histoire est un grand nombre de mentions dans les médias avec un minimum d'infections et un bénéfice minimum pour les criminels. Mais qui en tire profit ? On ne sait pas.

Il aura cependant été démontré qu’il est possible

1. D'attaquer au moins un quart des ordinateurs dans le monde entier.
2. Que l’introduction du malware sur le PC est garantie puisque l’utilisateur n’a même pas à cliquer sur un lien. Enfin, le Trojan qui s'introduit dans l'OS reçoit automatiquement les privilèges administrateur.

WannaCry est assez primitif et ses points faibles ont été mis en lumière :

1. l'absence de re-chiffrement.
2. Le manque de moyens de masquage contre les logiciels antivirus.
3. Un système de communication vulnérable avec les serveurs de gestion.

Vous n'avez pas besoin d'un tambour de chaman pour prédire ce qui va se passer ensuite.

Premièrement :

Vous pouvez voir que le code du Trojan (détecté par Dr.Web comme Trojan. EternalRocks.1) est beaucoup plus intéressant, il utilise 7 vulnérabilités !

Deuxièmement :

Troisièmement (la variante la plus avancée) :

Dr.Web détecte ce Trojan comme Trojan.Encoder.11536. Il se cache des logiciels antivirus, il détecte la présence de machines virtuelles et des sandbox afin de les contourner.

L'utilisation de vulnérabilités est-elle en train de devenir une nouvelle tendance d’introduction de malwares sur les ordinateurs ? Seul l'avenir le dira.