La première vague est terminée. La campagne du ransomware WannaCry a frappé plus de 70 pays, a fait tomber des entreprises très en vue et a compromis le système de santé du Royaume-Uni. Issu d'un exploit créé par la NSA et divulgué par le groupe Shadow Brokers, WannaCry exploite une vulnérabilité que Microsoft a corrigée en mars, même s'il est évident que les pratiques d'administration à travers le monde laissent à désirer. Dans le meilleur des cas, votre système est déjà protégé, mais si vous avez des doutes, il vaut mieux continuer à lire…
La situation a été très étrange. Les médias traditionnels ont commencé à parler de « ransomware » et de « cyberattaque », et au fil des heures, il est apparu qu'il ne s'agissait pas d'un fait isolé. Une nouvelle campagne était entrée en activité, et dès son premier mouvement, elle a frappé très fort. Elle a touché plus de 70 pays, mettant hors de combat Telefónica, FedEx et le système de santé britannique. La plupart des attaques (plus de 75 000 pour l'instant) se sont concentrées en Russie, en Ukraine et en Inde, mais il n'a pas fallu longtemps pour étendre ces territoires. Et il s'agit bien d'un ransomware, une variante de malware dont nous parlons beaucoup ces derniers mois, et que personne ne semblait prendre au sérieux jusqu'à présent. Il porte plusieurs noms, mais le plus populaire est WannaCry, et il demande essentiellement 300 dollars en bitcoins en échange de vos données. Si la victime ne paie pas avant le 15 mai, le prix augmentera et elle recevra 96 heures de plus.
Analyse de la menace
Si nous étudions WannaCry plus en profondeur, nous découvrons deux détails très intéressants et à la fois préoccupants. En premier lieu, son développement repose sur l'outil ETERNALBLUE qui attaque une vulnérabilité présente dans le protocole SMB de Windows. Cette ressource a été volée à la NSA en avril par le groupe Shadow Brokers, ce qui signifie qu'une bonne partie du monde numérique vient de ressentir le feu d'une arme de niveau militaire. En second lieu, il faut souligner que Microsoft a publié un correctif pour neutraliser ETERNALBLUE, sous le bulletin de sécurité MS17-010, classé « critique ». Le correctif est disponible sur tous les systèmes concernés depuis mars dernier, et en raison de la gravité, Microsoft a décidé de publier un correctif hors bande pour ses trois systèmes sans support officiel : Windows XP, Windows 8 et Windows Server 2003. Heureusement, le chercheur en sécurité MalwareTech a découvert l'« interrupteur » de WannaCry après avoir pris le contrôle d'un domaine intégré à l'exploit, et a également créé une carte qui nous aide à visualiser l'impact de la campagne.
Recommandations pour éviter WannaCry
Le vrai problème est qu'avec autant de systèmes non protégés, il ne faudra pas longtemps avant que les responsables modifient leur code et recommencent. Des recommandations ? En théorie, l'utilisateur moyen qui utilise une version à jour de Windows devrait être immunisé contre WannaCry, mais passons en revue quatre points :
- Si le correctif équivalent à MS17-010 pour votre système d'exploitation n'est pas installé, faites-le maintenant. Windows XP, Windows 8 et Windows Server 2003 ont reçu une « exception extraordinaire » via un correctif dédié.
- Renforcez les politiques de sécurité sur les routeurs pour les ports 139 et 445 de TCP, historiquement associés à SMB. En d'autres termes, ne laissez rien entrer par là.
- Désactivez SMBv1. Le processus a été expliqué dans le bulletin MS17-010, et il s'applique uniquement à Windows Vista et versions ultérieures. Vous le trouverez sous le menu « Activer ou désactiver les fonctionnalités de Windows » dans « Programmes », dans le Panneau de configuration.
- Explorez une option d'antiransomware pour compléter les antivirus traditionnels.
