Un malware encore plus virulent que WannaCry frappe les réseaux du monde entier

Une nouvelle attaque de ransomware infecte les entreprises. Le ver s’appuie sur le même vecteur d’attaque que WannaCry, mais en version améliorée

A peine les multinationales ont-elles le temps de panser leurs plaies après le passage du terrible ransomware WannaCry qu’elles se voient frappées d’une seconde vague encore plus virulente. A l’instar de son prédécesseur, ce nouveau malware chiffre les disques durs des ordinateurs et affiche une demande de rançon (300 dollars).
Selon Kaspersky, les principaux pays touchés sont l’Ukraine et la Russie, suivi de la Pologne, de l’Italie et de l’Allemagne. Mais le malware se répand dans le monde entier, créant de nombreux dysfonctionnements. Le laboratoire pharmaceutique Merck est devenu la première victime connue aux Etats-Unis. Le géant pétrolier russe Rosneft a été contraint de passer sur un serveur de secours et la centrale nucléaire ukrainienne de Tchernobyl à revenir à des mesures manuelles du niveau de radioactivité.
Le code malveillant – qui semble être une variante du rançongiciel Petya et que certains ont appelé Petwrap – a également créé des pannes informatiques chez le transporteur maritime Maersk, coupé le courant chez le propriétaire des biscuits Lu et Oreo et contraint des salariés allemands de Nivea à rentrer chez eux plus tôt car « plus rien ne fonctionne ». A Kiev, les usagers du métro ne pouvaient plus acheter de tickets par carte bancaire tandis qu'à l'aéroport Borispil de Kiev, la plupart des panneaux d'affichage étaient éteints. En France, les sites officiels du groupe de matériaux de construction Saint-Gobain n'étaient pas accessibles, un porte-parole indiquant que les systèmes informatiques avaient été « isolés » par mesure de sécurité. Des employés de sa filiale Point P, dans le nord de la France, ont reçu un message leur demander de déconnecter leur ordinateur du réseau. 

Le CERT-FR, la centre de veille et d’alerte de l’ANSII, a publié un bulletin d’alerte en urgence, recommandant « l’application immédiate des mises à jour de sécurité » et de « limiter l’exposition du service SMB », qui est un service de partage de fichiers sous Windows et qui était déjà le principal vecteur de propagation de WannaCry. Ce n’est pas étonnant : d’après les premières analyses des chercheurs en sécurité, ce malware intègrerait lui aussi le fameux outil de piratage EternalBlue qui permet au code malveillant de se propager automatiquement par le réseau, au travers des connexions SMB (port 445). Selon le hacker Matt Suiche, ce code malveillant été remanié de telle manière à ce qu’il ne soit pas immédiatement reconnaissable par les logiciels antivirus.

Même des ordinateurs patchés succombent à l’attaque

Mais contrairement à WannaCry, Petwrap a plus d’une corde à son arc. Selon Mikko Hypponen, chercheur en sécurité chez F-Secure, le malware utilise deux autres vecteurs de diffusion, à savoir WMIC (Windows Management Instrumentation Command Line) et PSExec, des technologies d’administration de parcs d’ordinateurs qui permettent de se connecter à distance et d’exécuter des commandes.

C'est pourquoi – et c’est nouveau – Petwrap arrive à infecter des machines totalement patchés. « Il suffit qu’un ordinateur ne soit pas patché pour que le ransomware s’infiltre dans le réseau. Le malware peut alors obtenir des droits d’adminitrateurs et se propager sur d’autres ordinateurs », explique l’éditeur Eset dans une note de blog.  Une stratégie diabolique. La bonne nouvelle, c’est que les particuliers ne devraient pas être exposés à cette attaque, compte tenu des modes de propagation.

source: 01net.com

Xavier, un nouveau malware Android

Android et les malwares, c'est une longue histoire. A tel point qu'on pourrait presque trouver ça normal. Mais la dernière découverte de Trend Micro fait plutôt froid dans le dos. La firme de cybersécurité a identifié un malware baptisé Xavier, présent dans pas moins de 800 applications Android différentes, dont une vaste majorité est encore disponible sur le Play Store de Google, qui a cependant déjà commencé de faire le ménage. 

Comme l'indique Trend Micro sur son blog (lien en anglais), Xavier est en fait l'évolution d'un malware existant depuis 2015. Comme d'autres applications malveillantes, son but est de voler les données personnelles des smartphones où il est présent. Sa particularité est qu'il est caché dans de très nombreuses applications : jeux, éditeurs d'images, lecteur audio et même wallpapers et sonneries... 

En réalité, le malware utilise une API d'affichage publicitaire pour changer le code d'une application après son téléchargement. Une fois bien installé, Xavier va télécharger du code à partir d'un serveur distant puis l'exécuter. Il cherche ensuite à passer inaperçu en utilisant des méthodes telles que le cryptage des chaînes ou le chiffrement des données Internet. 

Si Xavier semble principalement toucher les pays d'Asie du Sud-Est, en particulier le Vietnam, Trend Micro a néanmoins recensé des téléchargements en Europe... Il faudra donc redoubler de prudence et éviter de télécharger des applications qui paraissent suspectes. Google de son côté devrait aussi agir, car ce n'est pas la première fois qu'un virus infecte une application de cette manière.

Source:commentcamarche.net

Un pourriciel chinois prend le contrôle de 250 millions de PC dans le monde

Baptisé Fireball, ce malware détourne les recherches effectuées sur le navigateur et collecte des données de navigation. C’est également une porte dérobée permettant d’exécuter n’importe quel autre logiciel.

Les spécialistes asiatiques du « marketing » ont de nouveau frappé. Les chercheurs en sécurité de Check Point ont détecté un nouveau malware baptisé « Fireball » qui est capable de prendre le contrôle d’un PC et qui a déjà infecté plus de 250 millions de machine dans le monde. Les zones géographiques les plus touchées sont l’Inde, le Brésil et l’Amérique, mais l’Europe et la France ne sont pas épargnées.

Ce logiciel a été développé par une société chinoise qui a pignon sur rue, à savoir Rafotech. Il est diffusé de façon pernicieuse dans des paquets logiciels téléchargeables gratuitement, tels que « FVP Imageviewer », « Deal Wifi » ou « SoSo Desktop ». Preuve, une fois de plus, qu’il faut se méfier des freewares comme de la peste.

Check Point - Diffusion mondiale de Fireball

Une fois installé, Fireball agit comme un adware :  il va changer la page d’accueil du navigateur pour afficher un faux moteur de recherche (« Trotux ») qui redirige les recherches vers des moteurs que l’utilisateur n’aura pas forcément choisis, comme google.com et yahoo.com. Il va également installer un pixel de traçage pour collecter des données de navigation. Enervant, mais rien de bien méchant pourrait-on dire.

Le problème, selon Check Point, c’est que cet adware est capable d’installer et exécuter n’importe quel autre logiciel sur la machine. C’est donc une magnifique porte dérobée, avec tous les risques que cela implique. Rafotech pourrait l’utiliser pour espionner encore davantage ses victimes. Les victimes de cet adware sont donc invités à le supprimer le plus rapidement possible.

Source: 01net.com