WannaCry

WannaCry

Carte estimative des pays infectés.

Informations

Première version	12 mai 2017
Type	Rançongiciel

modifier - modifier le code - voir Wikidata (aide)

WannaCry, aussi connu sous le nom WannaCrypt^,, WanaCrypt0r 2.0 ou similaires, est un logiciel malveillant de type rançongiciel auto-répliquant.

En mai 2017, il est utilisé lors d'une cyberattaque mondiale massive, touchant plus de 300 000 ordinateurs, dans plus de 150 pays^,,,, principalement en Inde, aux États-Unis et en Russie^,,, et utilisant le système obsolète Windows XP et plus généralement toutes les versions antérieures à Windows 10 n'ayant pas effectué les mises à jour de sécurité, en particulier celle du 14 mars 2017 (bulletin de sécurité MS17-010).

Cette cyberattaque est considérée comme le plus grand piratage à rançon de l'histoire d'Internet^,, l'office européen des polices Europol la qualifiant « d'un niveau sans précédent » et ajoutant « qu'il ne faut en aucun cas payer la rançon ».

Parmi les plus importantes organisations touchées par cette attaque, on retrouve notamment les entreprises Vodafone, FedEx, Renault, Telefónica, le National Health Service, le Centre hospitalier universitaire de Liège, le ministère de l'Intérieur russe ou encore la Deutsche Bahn^,.

Ce logiciel malveillant utilise la faille de sécurité EternalBlue exploitée par la NSA et volée par les Shadow Brokers, un groupe de pirates informatiques. Cette faille a été corrigée depuis le mois de mars 2017 par Microsoft via le bulletin MS17-010 dans le cadre de son Patch Tuesday.

Ce virus a refait parler de lui en s'attaquant le 23 juin 2017 à une des usines du groupe automobile Honda, située à Sayama, au Japon, et cela intervient cinq jours avant le début d'une autre grande cyberattaque mondiale, NotPetya.

L'attaque

Contexte

Les premières infections ont eu lieu en Espagne ou au Royaume-Uni avant de se répandre dans le reste du monde en quelques heures. La première nuit, le nombre supposé de contaminations s'élevait à 100 000 systèmes Windows. Il semblerait que les premières traces du virus remontent au mois de février précédent. Certaines compagnies ont fait le choix d'arrêter les chaînes de production contaminées pour tenter de stopper la propagation.

Le système national de santé britannique (NHS) est l'une des principales victimes du ransomware. Cinquante hôpitaux du NHS^,,,, c'est-à-dire 20 % d'entre eux, sont concernés. En effet, ils possèdent des dizaines de milliers d’ordinateurs utilisant encore Windows XP.

Il a été possible de retarder la propagation du virus en enregistrant un nom de domaine spécifique, un killswitch, ce qu'a fait un chercheur britannique^,. Il s'agirait d'une sécurité conçue par les développeurs du logiciel eux-mêmes. Le virus se propage tant que le nom de domaine défini précédemment n'est pas enregistré, mais l'étape de propagation s'inhibe si tel est le cas^,. Il s'agissait de iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Ce répit a été de courte durée puisque le virus s'est adapté dès lors. Au moins deux autres variantes se sont répandues peu de temps après, dont une ne comportant pas une sécurité par nom de domaine. Le nom de domaine issu de la seconde de ces variantes est ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com, les deux ayant le même suffixe. Plusieurs autres « coupe-circuits » ont au fur et à mesure été repérés. Il comporte aussi un redémarrage automatique en cas d'interruption de l’exécution. De même, outre le chiffrement des fichiers de travail de l'utilisateur, le logiciel modifie des volumes systèmes afin de gêner les anti-virus ne s'étant pas activés à temps.

Selon la BBC, le groupe de pirates informatiques The Shadow Brokers a volé les outils de la NSA et les a mis en libre accès en affirmant qu'il s'agissait d'une « protestation » contre le président américain Donald Trump. Certains journalistes font le rapprochement avec le refus d'Apple de partager des techniques sensibles avec la NSA lors d'une des enquêtes contre le terrorisme de cette dernière, en 2015.

Caractéristiques

Comme la plupart des virus informatiques, celui-ci se transmet par le réseau local et Internet via des pièces jointes contaminées^, envoyées par un grand nombre d'e-mails via un botnet.

De manière commune à tous les ransomwares, une fois la contamination effectuée, le virus chiffre tous les fichiers sur l'ordinateur concerné et affiche une demande de rançon à l'utilisateur.

Il se propage ensuite en se connectant à d'autres ordinateurs vulnérables, ce de manière totalement autonome. Le système d'exploitation Linux, possédant en partie une intégration du protocole Samba, ne semble pas ciblé.

Ce ransomware se caractérise par la rapidité de son attaque, affectant des centaines de milliers de machines par le monde en un week-end. La fréquence d'attaque a été d'au moins une tentative par seconde et de 226 800 adresses IP affectées à son point fort. Ni la piste d'une organisation criminelle, ni celle d'une attaque étatique (ou soutenue par un État) n'est écartée. Europol affirme qu'aucun pays n'est particulièrement visé.

La rançon demandée est, ici aussi, une somme en bitcoins, d'une valeur relativement basse comprise entre 300 et 600 dollars^,,. Elle est initialement de 300 pour ensuite s'élever à 600 après trois jours si l'utilisateur n'a toujours pas payé, les données sont ensuite supprimées après sept jours^,. Les malfaiteurs comptent sur le grand nombre d’infections. Normalement, une fois la rançon payée, une clé de chiffrement détenue par les hackers permet de déverrouiller l'ordinateur, mais rien ne le garantit. En effet, le code analysé montre que le déchiffrement des fichiers nécessite une intervention manuelle de la part des malfaiteurs.

Des spécialistes affirment donc que, même si la rançon est payée, les utilisateurs ont peu de chance de voir leur fichiers déchiffrés et de pouvoir les récupérer. De même, aucune récupération de fichiers avec succès n'a été repérée jusqu'alors. Les transactions en bitcoins étant publiques, les malfaiteurs auraient reçu 51,92 bitcoins, soit plus de 95 000 dollars au moment de l'attaque^,,. Un robot Twitter a été créé dans le but de montrer l'augmentation de cette somme.

Réactions et conséquences

Compte tenu de l'ampleur de l'impact potentiel pour ses clients et leurs entreprises, Microsoft a exceptionnellement mis à disposition des mises à jour de sécurité pour les plates-formes qu'elle ne maintient plus, c’est-à-dire Windows XP, Windows 8 et Windows Server 2003^,. La firme affirme que Windows 10 n'est pas concerné^,. Brad Smith (en), dirigeant de la firme, pointe du doigt la responsabilité des agences de renseignement dans les affaires de ce type^, et espère qu'elle leur fera prendre conscience de leur responsabilité : « Cette attaque fournit un nouvel exemple pour illustrer le problème de l’entreposage des failles par les gouvernements ».

En France, le Parquet de Paris a confié une enquête en flagrance à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication pour « accès et maintien frauduleux dans des systèmes de traitement automatisé des données », « entrave au fonctionnement de ces systèmes » et « extorsions et tentatives d'extorsion. » L'office européen des polices Europol travaille aussi sur cette affaire. Cette attaque aurait causé des dizaines de millions de dollars de dégâts.

Les internautes ayant vu leur ordinateur infecté sont invités à garder une copie des fichiers chiffrés. En effet, il est possible qu'un chercheur trouve par la suite un moyen de les déchiffrer.

En Suisse, la Centrale d'enregistrement et d'analyse pour la sûreté de l'information a déclaré que la cyberattaque a infecté près de 200 machines au pays.

Quelques jours plus tard, une deuxième cyberattaque de grande ampleur, Adylkuzz, a frappé des centaines de milliers d'ordinateurs ; elle exploite les mêmes failles de sécurité que WannaCry^,. Puis, le 27 juin 2017, une autre cyberattaque de grande ampleur, NotPetya, a affecté des centaines de milliers d'ordinateurs, en exploitant également ces vulnérabilités.

Enquête et soupçons

La recherche se tourne vers le « patient zéro », c'est-à-dire le premier ordinateur à avoir été infecté.

Bien qu'il soit assez difficile de repérer avec précision l'origine de l'attaque, des chercheurs spécialistes en sécurité informatique ont communiqué au sujet d'un lien probable avec la Corée du Nord. L'ingénieur Neel Nehta, informaticien, employé de la société Google, a mis en ligne des portions de code source qui démontreraient certaines similitudes entre ce nouveau virus et une autre série de piratages attribués à ce pays asiatique. Les hackers nord-coréens soupçonnés appartiennent au collectif Lazarus Group (en), s'étant fait remarquer en 2007, comme l’affirme l'entreprise russe Kaspersky, spécialisée en antivirus.

D'autres chercheurs ont également fait le lien avec des pirates informatiques chinois. Les experts en sécurité de la société de renseignement sur les menaces Flashpoint ont analysé les messages de rançon de WannaCry dans 28 langues différentes. Leurs résultats montrent que les pirates parlent couramment chinois dont le message est grammaticalement mieux construit et contient plus d'informations. Les autres traductions ont été obtenues à partir du message anglais (contenant une faute grammaticale grave) et de Google Traduction. Les bouts de programme pointant vers le collectif Lazarus Group (en) auraient pu n'être implantés dans le malware qu'afin de couvrir les traces des pirates.

En août 2017, le chercheur britannique, Malwaretech, qui avait aidé à stopper le virus est arrêté à Las Vegas où il était à l'occasion de la Def Con. L'arrestation n'est cependant pas liée à WannaCry mais concerne un autre logiciel de vol d'informations de transactions bancaires. Cette arrestation est controversée dans la communauté des défenseurs des droits sur Internet : l'Electronic Frontier Foundation a mobilisé des avocats pour faire valoir les droits du hacker et s'assurer de la raison réelle de son arrestation.

Lutte contre le virus avec des logiciels

Un groupe de trois français, experts en sécurité informatique, ont mis au point un logiciel nommé Wanakiwi, un outil permettant de récupérer l’accès aux données verrouillées. Ce logiciel fonctionne sur Windows XP, Windows Vista et Windows 7 et a été approuvé par l'office de police européenne Europol.

Comme de nombreux ransomwares, WannaCry génère deux clés pour chiffrer les données. L'une est publique et l'autre est privée. Une fois le malware installé, la clé privée est elle-même chiffrée. Le virus utilise des fonctions cryptographiques de Windows pour générer ces clés, mais ces fonctions inscrivent brièvement de manière non chiffrée dans la mémoire vive de l'ordinateur la clé privée. C'est ainsi qu'ils ont réussi à créer ce logiciel capable d’aller chercher les traces de cette clé privée pour déverrouiller l'accès aux fichiers.

Le groupe appelle à la réactivité car « cette mémoire se vide automatiquement au bout de sept jours ». De plus, pour que cette solution fonctionne, les ordinateurs touchés ne doivent pas avoir été redémarrés après leur infection, la mémoire vive étant volatile. Wanakiwi fonctionne dans 60 % des cas pour les machines tournant sous Windows XP. Sur Windows 7, le taux de réussite stagne pour le moment à 10 %.

Plusieurs utilitaires ont été construits qui permettent de se protéger contre la faille de sécurité, parmi lesquels WannaSmile, qui désactive certaines fonctions des systèmes Windows utilisées par la faille et WannaPatch, du Français SysStreaming, qui détecte si un système est vulnérable et, si c'est le cas, qui permet le téléchargement immédiat du correctif idoine.

Notes et références

Voir aussi

Liens externes

• Carte du monde des détections en temps réel du virus
• Bulletin de sécurité Microsoft MS17-010 détaillant les logiciels concernés et indices de gravité de la vulnérabilité
• Catalogue des mises à jour pour Microsoft Windows concernant la vulnérabilité MS17-010
• La radio France Culture consacre le 16/05/2017 une table ronde (2 × 20 min) avec plusieurs experts (dont Daniel Glazman) : partie 1/2, partie 2/2.

Articles connexes

• Adylkuzz
• NotPetya
• I love you (ver informatique)
• Petya

• Portail de la sécurité informatique
• Portail de la criminologie
• Portail des années 2010