Des distributeurs automatiques jusqu'à Tchernobyl, la dernière campagne de ransomware qui utilise une variante du célèbre Petya ravage tout ce qui n'est pas cloué au sol. Des dizaines de chercheurs du monde entier ont commencé à étudier son fonctionnement et, bien qu'ils n'aient pas découvert d'interrupteur comme ce fut le cas avec WannaCry, il existe une petite ressource qui empêche son installation. Essentiellement, Petya vérifie la présence de un fichier spécifique pour déterminer si l'ordinateur est déjà infecté. En reproduisant ce fichier, nous obtenons un vaccin temporaire.
La campagne Petya
Un détail que nous avons mentionné dans notre dernier article est que la campagne de Petya (ou aussi «NotPetya», selon la source) semble être davantage axée sur le fait de causer des dégâts que sur l'obtention d'argent. En attaquant le MBR et le MFT du disque dur au lieu de chiffrer des fichiers individuellement, les chances de restaurer des données sont beaucoup plus faibles, et leurs développeurs n'ont peut-être jamais pensé à permettre cela. Si l'on tient compte de la situation délicate entre l'Ukraine (où l'attaque aurait pris naissance) et la Russie, l'idée de une cyberattaque déguisée en campagne de ransomware n'est pas si farfelue. Aussi dur que soit l'impact initial, une chose ne change pas : les experts n'ont besoin que de quelques heures pour créer une barrière de défense de base. Cela a été beaucoup plus efficace avec WannaCry car, une fois son interrupteur découvert, le ransomware a cessé de fonctionner, mais dans le cas de Petya-NotPetya, ce qu'ils ont trouvé est un vaccin.
Le remède trouvé par les chercheurs
Selon le chercheur Amit Serper, le ransomware vérifie la présence d'un fichier dans le dossier Windows avant de lancer l'infection : perfc.dll. D'un autre côté, Dave Kennedy de TrustedSec a indiqué que le fichier en question est perfc.dat. Au-delà de ces différences, le code fait simplement une vérification de «perfc.*», c'est-à-dire que n'importe quel fichier perfc, avec ou sans extension, satisfait à cette condition. Nous ne savons pas encore pourquoi le ransomware effectue cette recherche. Il est très probable qu'il s'agisse d'un vestige du Petya original pour empêcher qu'il n'infecte un ordinateur deux fois, ou alors les responsables de la nouvelle campagne l'ont peut-être placé dans le but de protéger leur propre infrastructure. D'une manière ou d'une autre, nous pouvons l'utiliser.
Créer le fichier perfc
Il existe plusieurs méthodes pour créer le fichier perfc, mais la plus populaire jusqu'à présent consiste à utiliser des copies du Bloc-notes et à changer son nom. Ici, chez NeoTeo, nous allons faire cela à l'ancienne : avec la console système. La première étape consiste à ouvrir cmd.exe avec les privilèges d'administrateur (faites un clic droit pour voir l'option). Ensuite, nous tapons «cd..» pour descendre dans le répertoire Windows, et une fois là, nous écrivons «copy notepad.exe perfc», sans les guillemets. Le reste se résume à ouvrir l'Explorateur de fichiers, aller dans le dossier Windows, localiser le fichier perfc récemment créé, ouvrir ses propriétés (encore une fois avec un clic droit), et activer l'attribut lecture seule (Windows demandera une autorisation supplémentaire à cette étape). Ceux qui le souhaitent peuvent répéter le processus avec perfc.dat et perfc.dll. Les dernières données disent que ce n'est pas strictement nécessaire, mais au bout du compte, il s'agit de quelque chose de temporaire. Tout ce que doivent faire ceux qui ont accès au code de Petya, c'est supprimer ou modifier cette fonction, et recommencer le cycle....
