Mois : août 2015

Depuis quelques semaines, les entreprises françaises subissent une attaque visant à les infecter par un Malware bancaire connu sous le nom de Dridex. Nous relayons l’alerte de l’agence de sécurité française Anssi et l’analyse effectuée par l’éditeur G Data dans son laboratoire. Des centaines d’entreprises ont déjà été abusées et les versements bancaires frauduleux sont très importants, ils portent désormais sur plusieurs millions d’euros. Cette attaque de forte ampleur a fait l’objet d’une alerte de la part de l’ANSSI :

Le CERT-FR alerte sur des spams qui se diffusent depuis plusieurs semaines en dépit des filtres antispam : attention aux macros malveillantes qu’ils diffusent !

Ces spams sont d’autant plus dangereux qu’ils embarquent des documents Microsoft Office contenant des macros VBA* malveillantes. Ces macros ont pour but d’infecter la victime avec Dridex, malware de type bancaire.
Ces spams sont très souvent rédigés dans un français sans faute, la tournure n’attire dons pas spécifiquement l’attention. Le sujet et le contenu du pourriel mentionnent des problèmes de facturation, dans la plupart des cas pour inciter le destinataire à ouvrir la pièce jointe.

 

Afin de se protéger contre ce type de menace, les conseils habituels sont rappelés :

• ne pas ouvrir les documents ou les pièces jointes CryptoLocker non sollicités;
• désactiver l’exécution automatique des macros dans les suites bureautiques;
• maintenir le système d’exploitation et l’antivirus à jour. Le bulletin d’actualité du CERT-FR détaille les formats de documents et techniques utilisées ainsi que les parades à mettre en place.

Note :

*VBA : Visual Basic for Application est une implémentation de Microsoft Visual Basic intégrée dans l’ensemble des applications de Microsoft Office.

Le G DATA SecurityLabs a disséqué cette attaque et nous livre son analyse.

 

Infection en 4 étapes

• L’attaque commence par un spam en français. Le contenu de l’email évoque une facture ou une commande soi-disant effectuée. En pièce jointe se trouve le document en question : un document Microsoft Office. Dans certains emails analysés, la pièce jointe intègre l’adresse email du receveur du spam, ce qui peut laisser penser qu’il s’agit effectivement d’un vrai document. Dans les attaques en français étudiées, les documents attachés sont vides à l’ouverture, mais Word propose l’activation des macros.

• Si l’utilisateur active la macro, il déclenche la deuxième phase : le téléchargement d’un premier code. Le site pointé est Pastebin.com, un service gratuit dans lequel il est possible de stocker du texte et le partager grâce au lien vers la page. Il est utilisé généralement par des développeurs pour partager des codes sources. Les attaquants ont vraisemblablement choisi cette page pour son caractère légitime et il est peu probable que les solutions de sécurité l’inscrivent dans une liste noire. Il est très facile de stocker du code sur cette plateforme, ainsi l’usage de ce site s’avère très pratique.

• La troisième étape consiste donc à charger ce code malveillant (le Payload), un VBS (Visual Basic Script) qui va alors télécharger un exécutable, l’installer dans %APPDATA% et l’exécuter. Vient ensuite la quatrième étape : le téléchargement du downloader, lui-même dédié au téléchargement du code malveillant final. Dans les cas analysés durant les derniers jours, le code téléchargé est le trojan bancaire Dridex. Mais en fonction du bon vouloir de l’attaquant, le downloader peut être commandé afin de télécharger un autre programme malveillant. Ainsi, dans plusieurs autres emails en français détectés ces derniers jours, certains downloaders ne téléchargeaient aucun code, mais étaient en attente.

 

Conclusion

Les auteurs du malware sont dans la recherche constante d’innovations pour escroquer les utilisateurs, et tenter de contourner les solutions de sécurité. Dans ce cas, ils utilisent un site internet légitime dans le processus d’infection que les produits de sécurité n’inscriraient pas dans une liste noire. Ils utilisent des documents Microsoft Office spécifiques pour contourner les analyses de certains antivirus. Certains anti malware dont ceux de G DATA détectent ces documents.

Cryptolocker est considéré comme l’une des menaces les plus insidieuses pour les internautes, une campagne de spam récent ciblé 10M utilisateurs français, nous allons apprendre comment lutter contre elle.

Récemment l’Agence nationale de la criminalité a émis une alerte sur une grande campagne de spam basé sur cryptolocker ransomware qui cible plus de 10 millions d’utilisateurs de messagerie. Cryptolocker malware est considéré comme très insidieuse par les utilisateurs, il crypte les fichiers de la victime, puis exige une rançon pour rétablir l’accès. Cryptolocker a été détecté pour la première fois en septembre 2013, ce qui le rend si insidieux cryptolocker est la façon dont il crypte les données de la victime en utilisant une méthode de cryptage fort rendant impossible d’y accéder sans avoir payé le montant de la rançon. Si la victime ne paie pas le montant de la rançon en 72 heures, cryptolocker va supprimer la clé de décryptage pour décrypter tous les fichiers sur votre PC. L’Agence nationale de la criminalité a révélé que les e-mails de spam ciblés principalement des comptes appartenant à des professionnels, généralement les messages comprennent une pièce jointe malveillante qui apparaissent comme des fichiers : une facture, un avoir ou une commande, avec des détails d’une transaction suspecte, nous avons également vue de faux messages vocaux ou des fax.

---

---

Le Laboratoires Bitdefender, firme de sécurité, à observé que, dans la semaine commençant le 27 octobre plus de 12.000 ordinateurs ont été infectés.

Lorsque les victimes tentent d’ouvrir les fichiers infectés par le malware cryptolocker, l’ordinateur affiche alors un compte à rebours qui exige le paiement d’une rançon en Bitcoins, d’une valeur d’environ 436 € pour obtenir la clé de déchiffrement. Entre 2013 et 2014, il y a eu une augmentation de 250% du nombre de nouvelles familles de crypto ransomware (étude Symantec). La rançon moyenne s’élève à 300 dollars (étude Symantec), même si elle peut facilement dépasser les dizaines de milliers d’euros quand des entreprises en sont victimes.

Les victimes sont avisées de ne pas payer la rançon, car évidemment après le paiement, il n’y a aucune assurance que les fichiers soient à nouveau exploitables pour l’utilisateur.
Au cours de ces dernières semaines, nous avons reçu de nombreuses demandes pour avoir une indication sur la façon de se protéger de cryptolocker ransomware. Les mauvaises nouvelles sont qu’il n’y a aucune possibilité de décrypter _Austauschbl?tter les fichiers sans la clé de déchiffrement, les attaques par wholesale jerseys force brute sont inutiles contre un cryptage de 2048 bits. La prévention est essentielle, en suivant quelques conseils précieux :

• Évitez d’ouvrir emails et pièces jointes provenant de sources inconnues, en particulier ZIP Inside ou archive RAR fichiers.
• Maintenir les systèmes à jour, la défense OS et des applications. Sauvegardez vos données. Les utilisateurs de Windows 7 devraient mettre en place le système are des points de restauration ou, si vous utilisez Windows 8, le configurer pour garder l’historique des fichiers.
• En cas d’infection, assurez-vous que vous avez reformaté votre disque dur pour supprimer complètement le cheval de Troie cryptolocker avant de tenter de réinstaller Windows et / ou restaurer vos fichiers à partir d’une sauvegarde.

Sur Internet, il est possible de récupérer de nombreux outils pour protéger votre système de cryptolocker, HitmanPro.Alert est l’un des meilleurs utilitaires gratuits qui peut nous défendre contre cryptolocker ransomware. L’application contient en fait une nouvelle fonctionnalité, appelée CryptoGuard, capable de détecter et de neutraliser les activités malveillantes. D’autres outils sont valides BitDefender Anti-CryptoBlocker, une application qui permet de détecter cheap jerseys le cryptage de bloc des données de l’utilisateur et CryptoPrevent applique un certain nombre de réglages à la machine Windows pour empêcher l’exécution de cryptolocker.