{"id":19837,"date":"2022-12-08T12:48:38","date_gmt":"2022-12-08T10:48:38","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=19837"},"modified":"2022-12-08T12:50:02","modified_gmt":"2022-12-08T10:50:02","slug":"crywiper-pseudo-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/crywiper-pseudo-ransomware\/19837\/","title":{"rendered":"CryWiper : un faux ran\u00e7ongiciel"},"content":{"rendered":"<p>Nos experts ont d\u00e9couvert l\u2019attaque d\u2019un nouveau cheval de Troie qu\u2019ils ont baptis\u00e9 CryWiper. \u00c0 premi\u00e8re vue, ce programme malveillant ressemble \u00e0 un ran\u00e7ongiciel (ransomware)\u00a0: il modifie les fichiers, leur ajoute une extension et sauvegarde un fichier README.txt avec une demande de ran\u00e7on qui contient l\u2019adresse du portefeuille Bitcoin, l\u2019adresse e-mail des cr\u00e9ateurs afin de les contacter et l\u2019identifiant de l\u2019infection. Pourtant, ce programme malveillant est en r\u00e9alit\u00e9 un <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/wiper\/\" target=\"_blank\" rel=\"noopener\">wiper\u00a0<\/a>: un fichier modifi\u00e9 par CryWiper ne peut pas \u00eatre restaur\u00e9 \u00e0 son \u00e9tat d\u2019origine. Si vous voyez une demande de ran\u00e7on et que vos fichiers ont une nouvelle extension .CRY, ne payez pas. C\u2019est inutile.<\/p>\n<p>Par le pass\u00e9, nous avons vu comment certaines souches de programmes malveillants devenaient un wiper par accident, et \u00e0 cause d\u2019erreurs commises par leurs cr\u00e9ateurs qui avaient mal int\u00e9gr\u00e9 les algorithmes de chiffrement. Pourtant, cette fois ce n\u2019est pas le cas\u00a0: nos experts sont convaincus que l\u2019objectif principal des cybercriminels n\u2019est pas l\u2019app\u00e2t du gain mais la destruction des donn\u00e9es. Les fichiers ne sont pas vraiment chiffr\u00e9s. Le cheval de Troie les \u00e9crase avec des donn\u00e9es g\u00e9n\u00e9r\u00e9es de fa\u00e7on soi-disant al\u00e9atoire.<\/p>\n<h2>Les cibles de CryWiper<\/h2>\n<p>Le cheval de Troie corrompt toutes les donn\u00e9es qui ne sont pas n\u00e9cessaires au bon fonctionnement du syst\u00e8me d\u2019exploitation. Il n\u2019affecte pas les fichiers qui ont les extensions .exe, .dll. .lnk, .sys, ou .msi et ignore plusieurs dossiers syst\u00e8me du r\u00e9pertoire C:\\Windows. Le programme malveillant se concentre sur les bases de donn\u00e9es, les archives et les documents de l\u2019utilisateur.<\/p>\n<p>Jusqu\u2019\u00e0 pr\u00e9sent, nos experts n\u2019ont identifi\u00e9 que des attaques qui ciblent la Russie. Pourtant, comme d\u2019habitude, personne ne peut garantir que ce m\u00eame code ne sera pas utilis\u00e9 pour s\u2019en prendre \u00e0 d\u2019autres cibles.<\/p>\n<h2>Le fonctionnement du cheval de Troie CryWiper<\/h2>\n<p>En plus de directement \u00e9craser le contenu des fichiers pour les rendre inutilisables, CryWiper effectue aussi les t\u00e2ches suivantes\u00a0:<\/p>\n<ul>\n<li>Cr\u00e9ation d\u2019une t\u00e2che qui red\u00e9marre le wiper toutes les cinq minutes gr\u00e2ce au planificateur de t\u00e2ches de Windows.<\/li>\n<li>Envoi du nom de l\u2019ordinateur infect\u00e9 au serveur C&amp;C et attente d\u2019un ordre pour lancer l\u2019attaque.<\/li>\n<li>Interruption des processus li\u00e9s aux serveurs de bases de donn\u00e9es MySQL et MS SQL, aux serveurs de messagerie MS Exchange et aux services Web MS Active Directory (sinon l\u2019acc\u00e8s \u00e0 certains fichiers seraient bloquer et ne pourraient pas \u00eatre corrompus).<\/li>\n<li>Suppression des fichiers Shadow Copy pour qu\u2019ils ne puissent pas \u00eatre restaur\u00e9s (mais seulement ceux du disque dur C: pour une quelconque raison).<\/li>\n<li>D\u00e9sactivation de la connexion au syst\u00e8me affect\u00e9 via le protocole d\u2019acc\u00e8s \u00e0 distance.<\/li>\n<\/ul>\n<p>L\u2019objectif de ce dernier point n\u2019est pas \u00e9vident. Peut-\u00eatre qu\u2019en d\u00e9sactivant la connexion les auteurs du programme malveillant essaient de compliquer le travail de l\u2019\u00e9quipe de r\u00e9ponse \u00e0 l\u2019incident, qui pr\u00e9f\u00e9rerait clairement acc\u00e9der au dispositif infect\u00e9 \u00e0 distance. Dans le cas contraire, l\u2019\u00e9quipe devra se d\u00e9placer afin d\u2019y acc\u00e9der physiquement. Vous trouverez tous les d\u00e9tails techniques de cette attaque ainsi que les indicateurs de compromission dans cet <a href=\"https:\/\/securelist.ru\/novyj-troyanec-crywiper\/106114\/\" target=\"_blank\" rel=\"noopener\">article publi\u00e9 sur Securelist<\/a> (en russe).<\/p>\n<h2>Comment vous prot\u00e9ger<\/h2>\n<p>Pour prot\u00e9ger les ordinateurs de votre entreprise contre les ran\u00e7ongiciels et les wipers, nos experts vous conseillent d\u2019appliquer les mesures suivantes\u00a0:<\/p>\n<ul>\n<li>Contr\u00f4lez minutieusement les connexions d\u2019acc\u00e8s \u00e0 distance \u00e0 votre infrastructure. Interdisez les connexions des r\u00e9seaux publics et n\u2019autorisez l\u2019acc\u00e8s \u00e0 distance que via un tunnel VPN et avec un mot de passe unique, fort et complexe tout en activant l\u2019authentification \u00e0 deux facteurs.<\/li>\n<li>Mettez les logiciels critiques \u00e0 jour d\u00e8s que possible et faites particuli\u00e8rement attention au syst\u00e8me d\u2019exploitation, aux solutions de s\u00e9curit\u00e9, aux clients VPN et aux outils d\u2019acc\u00e8s \u00e0 distance.<\/li>\n<li>Formez vos employ\u00e9s en s\u00e9curit\u00e9, notamment en utilisant des <a href=\"https:\/\/k-asap.com\/fr\/?icid=fr_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder____kasap___\" target=\"_blank\" rel=\"noopener\">outils en ligne sp\u00e9cialis\u00e9s<\/a>.<\/li>\n<li>Installez des <a href=\"https:\/\/www.kaspersky.fr\/enterprise-security\/anti-targeted-attack-platform?icid=fr_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">solutions de s\u00e9curit\u00e9 avanc\u00e9e<\/a> pour prot\u00e9ger les appareils professionnels et le p\u00e9rim\u00e8tre du r\u00e9seau de l\u2019entreprise.<\/li>\n<\/ul>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb-top3\">\n","protected":false},"excerpt":{"rendered":"<p>Le nouveau programme malveillant CryWiper se pr\u00e9sente comme un ran\u00e7ongiciel et corrompt les fichiers de fa\u00e7on permanente.<\/p>\n","protected":false},"author":2698,"featured_media":19838,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2112,3150],"tags":[1270,353,2544],"class_list":{"0":"post-19837","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-rancongiciel","10":"tag-ransomware","11":"tag-wiper"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/crywiper-pseudo-ransomware\/19837\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/crywiper-pseudo-ransomware\/24949\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/crywiper-pseudo-ransomware\/20445\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/crywiper-pseudo-ransomware\/10308\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/crywiper-pseudo-ransomware\/27509\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/crywiper-pseudo-ransomware\/25279\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/crywiper-pseudo-ransomware\/25606\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/crywiper-pseudo-ransomware\/28163\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/crywiper-pseudo-ransomware\/27429\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/crywiper-pseudo-ransomware\/34325\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/crywiper-pseudo-ransomware\/46480\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/crywiper-pseudo-ransomware\/20458\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/crywiper-pseudo-ransomware\/29580\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/crywiper-pseudo-ransomware\/32984\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/crywiper-pseudo-ransomware\/28796\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/crywiper-pseudo-ransomware\/25637\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/crywiper-pseudo-ransomware\/31326\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/crywiper-pseudo-ransomware\/31035\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/ransomware\/","name":"ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19837","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=19837"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19837\/revisions"}],"predecessor-version":[{"id":19840,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19837\/revisions\/19840"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/19838"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=19837"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=19837"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=19837"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}