[NotPetya] Le parquet ouvre une enquête contre la nouvelle campagne de ransomware

Petya, Petrwrap, GoldenEye, mais plus vraisemblablement NotPetya, si les experts divergent sur la nature du virus employé, ils s’accordent pour constater les effets de cette nouvelle campagne de ransomware qui se répand à travers le monde depuis le 27 juin, un mois seulement après la vague WannaCry.

Ses premiers effets ont été ressentis en Russie et en Ukraine où le gouvernement évoque une attaque « sans précédent » : la centrale nucléaire de Tchernobyl a été obligée de repasser à des mesures manuelles du niveau de radioactivité.

« Si vous voyez ce texte, c’est que vos fichiers ne sont désormais plus accessibles, parce qu’ils ont été chiffrés. Peut-être êtes-vous occupé à trouver un moyen de [les] récupérer, mais ne perdez pas votre temps.»

Depuis, le virus à la viralité foudroyante s’est répandu en Europe poussant certaines entreprises au chômage technique, comme en Allemagne chez le fabricant de la crème Nivea, Beiersdorf.

Entreprises et administrations sont touchées

En France, Auchan, la SNCF, l’industriel Saint-Gobain ou le géant publicitaire britannique WPP ont été touchés. Mais aussi le laboratoire Merck, première victime américaine dont le système informatique a été « compromis ».

Le parquet de Paris a annoncé ce jour l’ouverture d’une enquête pour tenter de démêler les nœuds de cette nouvelle cyberattaque d’ampleur. Les investigations, confiées à l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), portent sur les chefs d’« accès, maintien frauduleux dans un système de traitement automatisé de données (STAD), introduction frauduleuse de données dans un STAD, entrave au fonctionnement d’un STAD, extorsion et tentative d’extorsion ».

Des points communs avec WannaCry

Plus tôt dans la journée de mardi, la police appelait à la vigilance en évoquant un virus « qui exploite le même mode de propagation de WannaCry», à savoir Ethernal Blue, outil développé par la NSA pour exploiter une faille dans Windows et divulgué en avril par le groupe de pirates Shadow Brokers. Si Microsoft avait bien diffusé un correctif, toutes les mises à jour ne semblent pas avoir été opérées. Toutes les versions de Windows seraient concernées.

[VIGILANCE] #cyberattaque Le rançongiciel #Petya exploite le même mode de propagation que #WannaCry.
Ttes les versions windows st concernées pic.twitter.com/enr543rkQl

— Police Nationale (@PoliceNationale) 27 juin 2017

De son côté, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a publié des recommandations de sécurité dans la soirée du 27 juin.

Campagne #Rançongiciel #Petya – Informations, recommandations de sécurité et mesures réactiveshttps://t.co/KDfM8Okpeh pic.twitter.com/BZdDB2Cxsj

— ANSSI (@ANSSI_FR) 27 juin 2017

Le ransomware diffère de WannaCry sur un point notamment : une fois le processus de chiffrement terminé, le ransomware active une fonction spéciale qui force l’arrêt de l’ordinateur et déclenche un redémarrage, rendant ainsi l’ordinateur inutilisable jusqu’à ce que la rançon de 300 dollars en bitcoin soit acquittée.
Pourtant, l’attaque aurait moins avoir avec l’objectif d’un gain financier, qu’une destruction de données : « L’attaque a commencé en Ukraine, en utilisant un fournisseur de services de messagerie électronique classique et faillible comme canal de communication. C’est un choix bien médiocre pour une entreprise qui cherche à maximiser les gains financiers. Mais cela a ravagé les entreprises à travers le monde », explique Bogdan Botezatu, Spécialiste Sécurité chez Bitdefender.
En outre, « L’utilisateur doit saisir manuellement une “clé personnelle d’installation“ extrêmement longue et mixte, qui est susceptible de fautes de frappe. Normalement, les campagnes de ransomware conçues pour générer des bénéfices considérables ont un degré d’automatisation qui rend le processus de paiement facile et sécurisé, presque au niveau de celui des banques en ligne. Ici, nous avons affaire à un désordre total en termes de convivialité” poursuit Botezatu. Une preuve de plus à mettre au crédit d’une volonté de détruire les données “saisies” et donc de porter atteinte aux structures touchées.

Par ailleurs, l’adresse mail utilisée par le pirate a été suspendue depuis, ce qui bloque de fait tout échange avec les victimes potentielles qui voudraient payer la rançon demandée pour récupérer leurs données. Ces dernières semblent donc bel et bien perdues.

Pour Mike Murray, Vice-Président Security Intelligence chez Lookout, la future menace se situe sur le mobile : “En effet, avec l’augmentation croissante des usages et des pratiques mobiles en entreprise beaucoup d’utilisateurs réalisent que bien que leur organisation soit infectée par NotPetya, ils peuvent quand même accéder à leurs mails, calendrier, réseaux sociaux, etc. grâce à leur smartphone et autres appareils mobiles.
Le ransomware est une véritable menace et si l’attaque du rançonlogiciel NotPetya avait aussi été mobile, la plupart des utilisateurs aurait été grandement affectée et handicapée. Sans une authentification à deux facteurs avec clé (token) pour se connecter au réseau d’une entreprise ou à des services tels que Google Maps et Uber/Lyft, une attaque de rançonlogiciel qui se propagerait via nos appareils mobiles pourrait causer des perturbations très significatives.”