Attaque de ransomware Wannacry : définition, impact et défense

Sujette

Security

Sommaire

Résumé

En mai 2017, le ransomware WannaCry, un cryptover, a exploité des outils divulgués du gouvernement américain pour chiffrer des fichiers sur environ 300 000 ordinateurs dans 150 pays, causant des milliards de dollars de dommages. L’attaque a été stoppée grâce à une combinaison de correctifs Microsoft et à l’enregistrement par un développeur d’un domaine kill-switch. Si WannaCry a été en grande partie neutralisé aujourd’hui, les menaces liées aux ransomwares persistent, et il reste essentiel de maintenir les logiciels à jour, de sauvegarder les données et d’adopter des pratiques de sécurité Zero Trust pour se protéger efficacement.

Qu’était l’attaque par ransomware WannaCry ?

Au printemps 2017, des personnes du monde entier ont allumé leur ordinateur et ont été confrontées à un message inquiétant. Quelqu’un avait chiffré tous leurs fichiers, et à moins que la victime ne paie en bitcoin, ces données resteraient verrouillées indéfiniment.

Les hackers ont conçu le ransomware WannaCry en privilégiant la rapidité et le vol. Un ordinateur infecté pourrait propager le virus à d’autres. Très vite, les bureaux, les usines et même les hôpitaux ne pouvaient plus fonctionner normalement.

Des chercheurs et des programmeurs se sont mobilisés, et le virus a nettement perdu de sa virulence à mesure que le printemps laissait place à l’été. Mais si vous utilisez un ordinateur plus ancien et que vous n’avez pris aucune mesure pour le protéger depuis 2017, vous pourriez toujours être exposé à des risques.

Les attaques de ransomware ne se sont pas arrêtées avec WannaCry. En réalité, ce stratagème lucratif semble inciter les hackers à tenter de nouvelles approches. Il est essentiel pour chaque entreprise de travailler sur les défenses contre les ransomwares.

Comment l’attaque WannaCry s’est-elle déroulée ?

Le virus WannaCry résulte de trois facteurs essentiels : des secrets d’État, un système d’exploitation partagé et des hackers.

WannaCry est apparu lorsque des hackers ont divulgué des outils développés par le gouvernement des États-Unis. Ces outils ont exploité des vulnérabilités présentes dans les systèmes d’exploitation Windows. Leur libération a provoqué un véritable scandale. Pour les hackers, ces informations représentaient une opportunité.

Des hackers ont détourné ces outils pour propager le malware WannaCry à l’échelle mondiale. Le virus intégrait nativement la réplication, ce qui permettait à un ordinateur infecté de contacter d’autres machines et de les intégrer au réseau.

WannaCry a infecté environ 300 000 ordinateurs dans 150 pays, et le coût total des dégâts s’est élevé à plusieurs milliards. Parmi les victimes les plus en vue figuraient des hôpitaux et des cliniques au Royaume-Uni ainsi que des constructeurs automobiles en Europe. Mais de nombreuses petites entreprises ont également été impliquées dans le stratagème.

Détecter l’infection a été simple. Regardez l’écran de votre ordinateur, et vous verrez un message indiquant :

Une explication. Le cryptover a chiffré vos fichiers de données, et vous ne pouviez pas dépasser un écran de verrouillage.
Instructions. On vous a demandé de transférer des bitcoins vers l’un des trois portefeuilles publics pour pouvoir accéder à vos fichiers.
Avertissements. Si vous ne payiez pas les frais avant la date limite fixée par les hackers, ces derniers affirmaient que vous ne récupéreriez jamais vos fichiers.

De nombreuses personnes ont payé. En mai 2017, les victimes avaient versé plus de 27 000 $ aux hackers, et il était possible d’observer les portefeuilles bitcoin se remplir au fil des paiements. Mais il n’a jamais été clair si ces personnes ont de nouveau obtenu l’accès.

Qu’est-ce que le ransomware WannaCry ?

WannaCry est un ransomware de type cryptoworm qui a ciblé les ordinateurs fonctionnant sous Microsoft Windows.

L’infection suivait généralement ce processus :

Exposition : Votre ordinateur a été sélectionné de manière aléatoire en raison de sa connexion à un réseau infecté. Vous n’aviez pas besoin d’ouvrir un e‑mail infecté ni de cliquer sur un lien corrompu : le programme vous a trouvé via le réseau.
Vérification : le programme a tenté d’accéder à un domaine web très long et à l’apparence inhabituelle. S’il pouvait se connecter, le virus ne faisait rien. S’il n’y parvenait pas, le virus commençait à s’exécuter.
Chiffrer : Le cryptover a chiffré un à un tous les fichiers auxquels votre ordinateur avait accès.
Attaque : Votre ordinateur a cherché à en infecter d’autres. Elle pourrait exploiter tous les autres ordinateurs non protégés de votre réseau.
Avertissement : Un nouvel écran de verrouillage est apparu, vous informant du piratage et des mesures à prendre, avec des instructions pour envoyer de l’argent.

Comment l’attaque WannaCry a-t-elle été stoppée ?

Nous comprenons désormais très bien le fonctionnement de cette forme d’attaque par ransomware. Mais lors de sa sortie, les spécialistes n’avaient encore jamais vu quelque chose de semblable. Et personne n’était préparé à un virus aussi répandu et dévastateur. Les spécialistes ont mis du temps à déchiffrer le code, mais une fois qu’ils y sont parvenus, ils ont pu l’arrêter.

Quatre éléments clés se sont produits :

Microsoft a publié un correctif logiciel qui a protégé les personnes utilisant une version récente de Windows contre les vulnérabilités WannaCry. Tous les utilisateurs ont été invités à télécharger et à appliquer le correctif dans les plus brefs délais.
Microsoft est à nouveau intervenu en proposant un correctif adapté à toutes les versions de Microsoft Windows, y compris les plus anciennes que l'entreprise ne s'engageait plus à maintenir. Une fois de plus, l'entreprise a encouragé les personnes concernées à agir.
Un développeur a examiné attentivement le code et a identifié le nom de domaine recherché par le virus. Ce nom de domaine n’avait jamais été enregistré, ce qui signifie que chaque ordinateur qui le recherchait ne le trouvait jamais (et exécutait donc le virus). Le développeur a enregistré ce nom de domaine, empêchant ainsi efficacement chaque ordinateur infecté d’exécuter le virus.
Un chercheur a publié une solution qui désinstalle la porte dérobée utilisée par les hackers lors de l’attaque.

Toutes ces étapes ont mis fin aux attaques en 2017. Mais si vous utilisez un ordinateur plus ancien et que vous avez ignoré tout ou partie de ces solutions, vous pourriez encore être infecté par WannaCry aujourd’hui. Si vous pensez ne pas avoir mis à jour votre système d’exploitation depuis cette date, c’est le moment idéal pour le faire.

Comment vous protéger d’une attaque de ransomware ?

Si le ransomware WannaCry ne constitue peut-être plus une menace majeure en 2021 et au-delà, il n’est pas la seule forme de ransomware existante. En réalité, de nombreuses attaques de ce type circulent actuellement dans le cyberespace.

La Federal Trade Commission recommande quelques mesures de protection contre le ransomware relevant du bon sens:

Mise à jour. Veillez à ce que tous les logiciels que vous utilisez sur votre ordinateur, y compris votre système d’exploitation et votre protection antivirus, soient à jour.
Enregistrer. Sauvegardez vos données dans un espace distinct de votre réseau.
Enquêter. Ne cliquez sur aucun lien suspect dans les messages électroniques et ne téléchargez aucun logiciel à partir de lecteurs Zip.

Comment le Zero Trust contribue-t-il à se défendre contre le ransomware ?

Faire évoluer votre architecture Zero Trust, sécuriser l’accès à l’ensemble de vos ressources critiques et mettre en place des contrôles d’authentification robustes et simples à utiliser peuvent également rendre votre entreprise moins vulnérable aux attaques de ransomware. En savoir plus.

Foire aux questions (FAQ)

Qu’est-ce qui a permis à WannaCry de se propager aussi rapidement sur différents réseaux ?

WannaCry a été conçu avec des capacités d’auto-réplication, ce qui signifie qu’un ordinateur infecté pouvait automatiquement rechercher et infecter d’autres machines non protégées sur le même réseau, sans aucune intervention de l’utilisateur, comme cliquer sur un lien ou ouvrir un e-mail.

Que se passait-il lorsqu’un ordinateur était infecté par WannaCry ?

Le cryptover a chiffré tous les fichiers accessibles sur la machine, puis a affiché un écran de verrouillage exigeant le paiement d’une rançon en bitcoins sur l’un des trois portefeuilles publics avant une date limite fixée, sous peine de perte définitive des données si la rançon n’était pas versée.

Comment l’attaque WannaCry a-t-elle finalement été stoppée ?

L’attaque a été stoppée grâce à une combinaison de mesures : Microsoft a publié des correctifs de sécurité pour toutes les versions de Windows, un développeur a enregistré le nom de domaine kill-switch intégré dans le code du virus, et un chercheur a mis à disposition un outil permettant de supprimer la porte dérobée exploitée par les hackers.

WannaCry pourrait-il encore représenter une menace aujourd’hui ?

Oui, si un ordinateur n’a pas été mis à jour avec les correctifs Microsoft concernés depuis 2017 ou utilise encore une version de Windows non corrigée, il peut toujours être vulnérable à une infection par WannaCry.

Quelles mesures la Federal Trade Commission recommande-t-elle pour prévenir les ransomwares ?

La Federal Trade Commission (FTC) recommande de maintenir à jour tous les logiciels et systèmes d’exploitation, de sauvegarder les données dans un emplacement distinct du réseau principal, et d’éviter de cliquer sur des liens suspects dans les e-mails ou de télécharger des logiciels provenant de sources inconnues.

Quelles ont été les victimes les plus en vue de l’attaque WannaCry ?

Parmi les victimes les plus marquantes figuraient des hôpitaux et des cliniques au Royaume-Uni ainsi que des constructeurs automobiles en Europe, mais de nombreuses petites entreprises ont également été touchées dans les 150 pays où l’attaque s’est propagée.