Ce malware, qui utilise l’exploit ETERNALBLUE contre la vulnérabilité MS17-010, chiffre les fichiers et exige le paiement d’une rançon pour les déchiffrer. Les entreprises sont contraintes de déterminer où se trouve cette vulnérabilité dans leur environnement IT mondialisé à l’aide de solutions de sécurité d’entreprise qui restent lentes à déployer. En réponse à cette attaque, Qualys offre aux entreprises du monde entier des ressources d’analyse illimitées, complètes et immédiatement déployables via sa plate-forme dans le Cloud. Grâce à ce service, les entreprises pourront détecter, suivre et remédier WannaCry ainsi que ses variantes sur leurs actifs IT mondiaux. En outre, cette offre fournit des rapports et un tableau de bord pour visualiser en temps réel l’impact sur les actifs et suivre les efforts de remédiation. Les Responsables de la Sécurité des Systèmes d’Information (RSSI) disposent ainsi de la visibilité continue qui est nécessaire pour contenir cette menace critique.

Qualys AssetView Dashboard - Suivi des vulnérabilités et exploits Shadow Brokers et WannaCry

Les détections par signature Qualys pour WannaCry concernent les ID Qualys (QIDs) suivants :
• QID 91345 – Vulnérabilité d’exécution de code à distance (MS17-010) sur Serveur Microsoft SMB (Server Message Block) et Shadow Brokers
C’est le 14 mars dernier que Qualys s’est intéressée à ce patch manquant pour les plateformes supportées, soit un mois avant le dump du groupe de hackers Shadow Brokers. Ce QID a été actualisé pour détecter aussi les nouveaux patches pour les versions de Windows en fin de vie (EOL).
• QID 91360 – Exécution de code à distance sur les protocoles Microsoft Windows SMBv1 et NetBIOS sur TCP/IP (NBT) – Vulnérabilité MS17-010 (ETERNALBLUE) Shadow Brokers
Qualys a immédiatement ajouté ce QID suite à la publication Shadow Brokers en date du 14 avril pour détecter aussi la vulnérabilité exploitée par ETERNALBLUE sur toutes les plateformes Windows. Ce QID a également été mis à jour pour ne pas lancer d’alertes si les patches EOL ont été installés.
• QID 70077 – Backdoor Double Pulsar détecté (Shadow Brokers)
Détecte la présence du backdoor DOUBLEPULSAR sur lequel WannaCry peut s’appuyer pour se propager.
• QID 1029 – Ransomware WannaCrypt détecté. Détecte WannaCry et permet de déclencher des alertes suite à de nouvelles infections.

Contenu de l’offre gratuite et illimitée de 30 jours de Qualys :
• Vulnerability Management – Fonctionnalités complètes d’analyse via des scanners réseau ou des agents Cloud pour permettre aux entreprises d’identifier rapidement et avec précision les actifs vulnérables ou infectés par WannaCry.
• ThreatPROTECT – Accès d’un seul clic au tableau de bord des actifs impactés via le fil d’informations en temps réel sur les menaces qui renseigne sur les toutes dernières menaces et fournit une analyse détaillée d’ETERNALBLUE et de WannaCry.
• AssetView – Localisation et suivi des actifs Windows anciens et actuels impactés par ces exploits dans des widgets dynamiques.
• Continuous Monitoring – Création d’alertes pour suivre toute infection WannaCry apparaissant sur le réseau de l’entreprise.
• Analyse d’un nombre illimité d’adresses IP
• Déploiement d’un nombre illimité d’appliances de scanner virtuel ou d’agents Cloud