Vous vous souvenez de ce document malveillant qui exploitait une vulnérabilité de Word pour télécharger un malware sans laisser de trace ? La bonne nouvelle, c'est que Microsoft a publié son correctif le 11 avril 2017 et son installation est recommandée de toute urgence. La mauvaise, c'est que ce bug a été découvert en juillet 2016 et qu'il a été utilisé pendant les neuf mois suivants pour mener des attaques en Russie, en Ukraine, en Australie et en Israël.
La vulnérabilité CVE-2017-0199
La désignation officielle de la vulnérabilité est CVE-2017-0199. D'un point de vue technique, elle a déjà été corrigée, et ceux qui utilisent les versions les plus récentes de la suite Office (à partir de l'édition 2007 SP3) devraient être protégés. Cependant, nous savons très bien que, pour diverses raisons, de nombreux utilisateurs et administrateurs choisissent de retarder l'application des correctifs. Peut-être que leur environnement d'entreprise est trop strict, ou qu'ils utilisent simplement des copies illégales avec des systèmes d'activation neutralisés via Windows Update. Mais les bugs ne font pas de discrimination, et ce qui aurait été dans d'autres circonstances un correctif de routine est devenu une odyssée de neuf mois.
La découverte du 0-day
L'histoire nous ramène en juillet 2016, lorsque le consultant Ryan Hanson a découvert le 0-day. Pendant les trois mois suivants, il a travaillé sur le bug pour en évaluer la gravité et le potentiel de combinaison avec d'autres failles, avant de le signaler à Microsoft. En voyant les résultats, Redmond en a conclu que un correctif rapide ne suffirait pas à le neutraliser, et qu'ils ne pouvaient pas non plus partager trop de données à ce sujet, sinon ils alerteraient les pirates. À ce moment-là, il n'y avait aucun signe d'exposition du 0-day, mais cela a changé en janvier de cette année, ce qui nous amène au rapport original de FireEye. CVE-2017-0199 a été utilisé par « de multiples agents » pour propager au moins trois formes de malwares, en commençant par FinSpy, Latentbot et Dridex. Le cas de FinSpy est très particulier, car nous le connaissons aussi sous le nom de FinFisher, un spyware utilisé par des dizaines de gouvernements dans le monde.
Des attaques à l'échelle mondiale
Les premières victimes se limitaient à la Russie et à l'Ukraine, ce qui démontrait un certain niveau de précision dans la campagne. Après avoir accumulé des preuves supplémentaires, FireEye a contacté Microsoft, mais la confirmation de McAfee le 7 avril a essentiellement bouleversé la donne, annonçant au monde entier l'existence du 0-day. Deux jours plus tard, le marché noir proposait déjà des variantes exploitant CVE-2017-0199 pour distribuer Dridex. Les attaques se sont étendues à l'Australie et à d'autres pays, dans le but de voler des fonds sur des comptes bancaires. L'Université Ben-Gurion en Israël a annoncé que plusieurs de ses employés avaient été piratés « après correctif » par des attaquants liés au gouvernement iranien, qui auraient pris le contrôle de leurs comptes de messagerie et étendu la distribution de documents malveillants à plus de 250 cibles. On ignore le nombre final de personnes affectées et le montant d'argent volé. Au-delà du fait que le retard puisse être justifié, il est impératif de développer une plateforme universelle permettant de mieux coordonner la communication entre les chercheurs en sécurité indépendants et les entreprises.
Source : Reuters
