L'épidémie n'était qu'une question de temps, nous l'avons répété à plusieurs reprises. WannaCry n'était que le début. Il ne fallait qu'un élément malveillant suffisamment compétent et un budget supérieur pour réutiliser les exploits dans une campagne bien plus agressive. Cette campagne est désormais parmi nous. De multiples sources indiquent que l'attaque a commencé en Ukraine et, malgré son accent sur l'infection des réseaux locaux, elle s'est rapidement propagée. Entreprises pharmaceutiques, sociétés de transport, cabinets d'avocats, banques, producteurs alimentaires, et même les systèmes de surveillance de Tchernobyl ont été touchés.
L'attaque
Les médias spécialisés sont encore en train d'analyser l'information, et nous prévoyons plusieurs mises à jour dans les prochaines heures, mais nous disposons déjà d'une base solide pour savoir ce qui s'est passé. Une nouvelle campagne mondiale de ransomware a interrompu les opérations dans plus de 80 entreprises. Parmi les noms cités figurent la société pharmaceutique Merck, Mondelez International (Cadbury, Toblerone, Milka, Oreo, etc.), le géant du transport maritime Maersk, ainsi que plusieurs opérateurs en Russie et en Ukraine, notamment la compagnie pétrolière Rosneft, l'aciériste Evraz, le distributeur public d'électricité Ukrenergo et l'aéroport international de Boryspil. Bien que cela ne soit pas encore entièrement confirmé, les analyses préliminaires suggèrent qu'il s'agit d'une variante du ransomware Petya. Comme WannaCry, cette version de Petya (également identifiée comme PetyaWrap, GoldenEye et Nyetya) utilise l'exploit EternalBlue, mais selon Kaspersky, elle applique également un deuxième exploit divulgé par la NSA, EternalRomance.
On n'a pas encore identifié la méthode de propagation principale, mais les preuves disponibles évoquent un logiciel de comptabilité ukrainien appelé MeDoc, dont le système de mises à jour a été piraté. Kaspersky et le groupe Talos de Cisco ne sont pas allés jusqu'à cette conclusion, mais dans l'article officiel du chercheur MalwareTech (le même qui a découvert l'interrupteur de WannaCry), on peut trouver plusieurs références. En substance, les responsables exigent un paiement de 300 dollars en bitcoins, et une fois le paiement effectué, les victimes doivent envoyer « clé d'installation » à une adresse e-mail. Cet e-mail utilise le domaine d'un fournisseur allemand, Posteo, qui a déjà confirmé son blocage. Cela signifie que les utilisateurs affectés n'ont aucun moyen de recevoir la clé de déchiffrement et de restaurer leurs fichiers. Par conséquent, nous devons répéter la même recommandation que toujours : ne payez pas.
Des différences notables avec WannaCry
Bien qu'il y ait de nombreuses raisons de comparer cette campagne à WannaCry, les différences techniques sont considérables. WannaCry a concentré sa puissance sur un petit nombre de terminaux et a rapidement perdu le contrôle, tandis que cette variante de Petya a attaqué un grand nombre d'ordinateurs, puis a procédé à l'infection des réseaux internes (elle n'a besoin que d'un terminal vulnérable). Elle a également la capacité de voler des identifiants locaux à l'aide de Mimikatz, et d'approfondir sa présence en utilisant PSExec, un outil officiel de Microsoft. Une fois l'infection terminée, le ransomware peut attendre entre 10 et 60 minutes avant de redémarrer la machine. La plupart des sources s'accordent à dire que cette campagne est beaucoup plus sophistiquée. Il n'y a aucun interrupteur magique pour la désactiver, et elle semble plus axée sur les dégâts que sur la collecte de fonds (elle n'a récolté que 6 000 dollars). Des images du ransomware ont été observées dans des distributeurs automatiques de billets, mais le rapport le plus alarmant a été réalisé par CNN, qui a annoncé que le système de surveillance automatique des radiations de la centrale nucléaire de Tchernobyl a été touché. Les autorités continueront les surveillances manuellement jusqu'à nouvel ordre.
Pour l'instant, le seul moyen d'éviter le ransomware est d'interrompre le processus de chiffrement. Si l'ordinateur redémarre spontanément et affiche un message indiquant que le système de fichiers est en réparation (très similaire au classique CHKDSK), il faut l'éteindre complètement. Nous continuerons à informer.
Source : Une nouvelle épidémie de ransomware semblable à WannaCry arrête des ordinateurs dans le monde entier
MalwareTech
