Rappel des faits

Une récente vague de cyberattaques par le rançongiciel WannaCry a provoqué d’importants ravages dans le monde. Des pirates ont réussi à lancer un ver informatique qui s’est rapidement propagé à des centaines de milliers d’ordinateurs dans plus de 150 pays. De nombreuses entreprises en subissent encore les conséquences. WannaCry exploite la faille de Microsoft Windows MS17-010 qui avait fait, il y a quelques mois, l’objet d’un correctif de l’éditeur. Ce logiciel malware crypte les données stockées sur les systèmes Windows auxquels le correctif n’a pas été appliqué et sur les systèmes Windows XP qui aujourd’hui ne sont plus maintenus. Les attaquants exigent le paiement en Bitcoin d’une rançon contre la clé de décryptage qui permettra au propriétaire des données d’accéder à nouveau à celles-ci.

L’infection

Après avoir utilisé la vulnérabilité, le malware tente de se connecter à un domaine : iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

Le malware attend que la connexion échoue et procède alors à l’installation et à l’infection du système. Pour cette raison, il est indispensable d’inspecter le réseau en recherchant le nom de domaine pour identifier les machines infectées.
Le fait que le détecteur de malware ait enregistré le domaine implique que le malware ne s’installe plus désormais, mais n’oublions pas que les systèmes demeurent fragiles face à cette vulnérabilité de sécurité. Si une connexion à ce domaine apparaît, cela implique formellement que la machine a été compromise.

Le package LogPoint

LogPoint fournit un package applicatif plug-and-play gratuit à ses clients. Les utilisateurs de LogPoint peuvent ainsi inspecter rapidement leurs réseaux et établir la liste des machines infectées.

L’application fonctionne sur LogPoint et LogPoint Free, pour tous les types de périphériques (pare-feu, appliances de sécurité de contenu, partage de fichiers, etc.) et fournit un outil efficace et simple pour surveiller et contenir toute nouvelle propagation du malware.

Normalement, d’autres exemples de malware devraient suivre, infectant les postes au travers de ces vulnérabilités. LogPoint surveillera activement les recherches et les publications et fournira des mises à jour et des modèles de requêtes au fur et à mesure que la recherche s’effectuera.

La page WannaCry / Ransomware du site LogPoint fournit de plus amples informations sur l’application et les étapes à suivre.