Jour 3 : Qui est le mort ?

INFORMATIQUE
Cyberattaque mondiale en cours: NotPetya pourrait être pire que WannaCry
L'ampleur de l'attaque rappelle celle de Wannacry, en mai dernier...

La cyberattaque a commencé en Ukraine et en Russie, puis a gagné l’Europe et les Etats-Unis
Le rançongiciel NotPetya paralyse les systèmes informatiques en chiffrant les données et demande une rançon pour les débloquer.

Le groupe pétrolier Rosnef, les laboratoires Merck et Saint-Gobain, notamment, sont touchés
L'expert en sécurité de Berkeley, Nicholas Weaver, explique à 20 Minutes que le transporteur maritime danois Maersk utilisait le logiciel MeDoc, premier vecteur de l'infection en Ukraine. Maersk l'utilisait dans une filiale ukrainienne mais le système était connecté à celui de son quartier général au Danemark.

Plusieurs experts informatiques sont remontés jusqu'au logiciel de comptabilité ukrainien MeDoc. Il aurait été piraté lors d'une mise à jour dont la signature n'a pas été vérifiée, et aurait ensuite servi de vecteur à l'attaque en cours, qui a touché plusieurs de ses clients. Cela n'explique pas comment l'attaque a gagné d'autres pays (selon Kaspersky, il y a toutefois plusieurs vecteurs d'infection).

On n'est pour l'instant loin des centaines de milliers de PC infectés mais selon plusieurs chercheurs, le malware d'aujourd'hui est plus complexe que celui de mai, avec des vecteurs d'infection multiples. Surtout, il n'y a pas pour l'instant de «kill switch», ce mécanisme qui avait permis à une jeune chercheur britannique d'interrompre la propagation de Wannacry en achetant un simple nom de domaine pour 10 dollars.
Les banques et les infrastructures particulièrement touchées en Ukraine
En Ukraine, le Premier ministre Volodymyr Groïsman a évoqué une attaque «sans précédent». «Les banques éprouvent des difficultés à prendre en charge leurs clients et faire des opérations bancaires», a indiqué la banque centrale. A Kiev, les usagers du métro ne pouvaient plus acheter de tickets par carte bancaire tandis qu’à l’aéroport international la plupart des panneaux d’affichage étaient éteints.

L'Agence nationale de la sécurité des systèmes d'information «constate l’installation et la propagation d'un programme malveillant de type rançongiciel. D’après les premiers éléments techniques, le programme malveillant se propagerait automatiquement au sein du réseau des victimes et affecterait les serveurs et les postes de travail.»

L’ANSSI recommande :
l'application immédiate des mises à jour de sécurité (à titre préventif, plus particulièrement celle de Microsoft MS17-010) ;
le respect des recommandations génériques relatives aux rançongiciels ;
de limiter l’exposition du service de partage de fichiers sur Internet ;
Le plus grand transporteur maritime du monde touché

Le Danois Maersk confirme que ses systèmes sont touchés. Il s'agit de première compagnie maritime et plus grand armateur de porte-conteneurs du monde. Si la situation durait, ses opérations pourraient être perturbées.
Le parquet de Paris a ouvert mardi une enquête sur la vaste cyberattaque en cours, selon l'AFP. Cette enquête de flagrance a été ouverte pour "accès et maintien frauduleux dans des systèmes de traitement automatisé de données", "entrave au fonctionnement" de ces systèmes, "extorsions et tentatives d'extorsions", a précisé cette source. En France, le géant publicitaire britannique WPP, l'industriel français Saint-Gobain, le distributeur Auchan et la SNCF ont indiqué avoir été touchés.

Ceux qui ont payé la rançon ne pourront pas recevoir la clé pour déchiffrer leurs données
Le fournisseur d'email Posteo a bloqué l'adresse listée dans le message du rançongiciel. L'initiative est critiquée car:
cela ne bloque pas les paiements ni la propagation du malware

en revanche, ceux qui paient ne peuvent plus recevoir la clé pour déchiffrer leurs données (mais rien ne garantit que les hackers aient eu l'intention de débloquer les machines infectées).

Le malware utiliserait la même faille que Wannacry
Selon Avast, le malware utilise la faille de Windows EternalBlue pour se propager. Microsoft l'a pourtant corrigée après Wannacry, mais de nombreux systèmes n'ont visiblement pas été mis à jour.