C’était un peu l’inquiétude ce lundi matin pour les responsables de la sécurité informatique des grandes entreprises. Quelque 200.000 ordinateurs situés dans au moins 150 pays ont été touchés ce week-end par un logiciel de rançon (un “ransomware”), qui chiffre les données de l’utilisateur jusqu’à ce que celui-ci accepte de payer environ 300 dollars. Lundi, des millions d’ordinateurs d’entreprises ont été rallumés à travers le monde, faisant craindre une nouvelle vague de propagation du virus. Le coupable s’appelle WannaCry et exploite une faille de Windows connue depuis plusieurs mois.
Microsoft avait d’ailleurs publié un correctif en mars, mais preuve en est que de nombreux utilisateurs avaient sous-estimé cette recommandation. Si vous ne l’avez pas encore téléchargé, c’est le moment. Exceptionnellement, le géant de Redmond a également publié un patch à l’attention des utilisateurs de Windows XP, même si le support de celui-ci a été abandonné il y a trois ans. En effet, de nombreuses entreprises continuent de l’utiliser. En 2014, 95% des distributeurs de billets mondiaux fonctionnaient encore sous Windows XP. L’an dernier, 10,9% des PC du monde tournaient sous ce système d’exploitation de vieux de 15 ans.
Voici la liste des correctifs à télécharger en fonction de la version de votre Windows :
MISE À JOUR DU 15 MAI 2017, 10H00
A noter : ne confondez pas cette attaque de rançongiciel avec la campagne de spam « Jaff » dont le mode opératoire, les recommandations de sécurité et les mesures réactives sont différents.
Voir l’alerte du CERT-FR 2017-ALE-011
MODE OPÉRATOIRE
Le programme malveillant, qui pourrait être diffusé par courriel, exploite des vulnérabilités pour se propager. Ces dernières sont celles décrites dans le bulletin de sécurité MS17-010.
Le programme malveillant serait constitué :
- d’un composant chargé de la propagation via le réseau qui utiliserait une vulnérabilité du service de partage de fichiers ;
- d’un rançongiciel.
QU’EST-CE QU’UN RANÇONGICIEL ?
Un rançongiciel est un programme malveillant qui provoque le chiffrement de tous les fichiers d’un ordinateur (et des fichiers accessibles en écriture sur les dossiers partagés si votre ordinateur est connecté à un réseau informatique). Il existe des moyens de prévenir et de remédier à ce rançongiciel.
RECOMMANDATIONS DE SÉCURITÉ
Le CERT-FR recommande :
- l’application immédiate des mises à jour de sécurité permettant de corriger les failles exploitées pour la propagation (MS17-010 pour les systèmes maintenus par l’éditeur).
- de limiter l’exposition du service de partage de fichiers sur Internet.
De manière préventive, s’il n’est pas possible de mettre à jour un serveur, il est recommandé de l’isoler, voire de l’éteindre le temps d’appliquer les mesures nécessaires.
En complément, le CERT-FR recommande la mise à jour des bases de signatures d’anti-virus.
EN CAS D’INCIDENT – MESURES RÉACTIVES
Si le code malveillant est découvert sur vos systèmes :
- déconnectez immédiatement du réseau les équipements identifiés comme compromis. L’objectif est de bloquer la poursuite du chiffrement et la destruction des documents partagés.
- alertez le responsable sécurité ou le service informatique au plus tôt.
- sauvegardez les fichiers importants sur des supports amovibles isolés. Ces fichiers peuvent être altérés ou encore être infectés. Il convient donc de les traiter comme tels. De plus, les sauvegardes antérieures doivent être préservées d’écrasement par des sauvegardes plus récentes.
- ne payez pas la rançon. Le paiement ne garantit en rien le déchiffrement de vos données et peut compromettre le moyen de paiement utilisé (notamment carte bancaire).
Pour plus d’informations, vous pouvez consulter :