{"id":5668,"date":"2016-05-18T18:14:55","date_gmt":"2016-05-18T18:14:55","guid":{"rendered":"https:\/\/kasperskydaily.com\/france\/?p=5668"},"modified":"2020-02-26T15:54:09","modified_gmt":"2020-02-26T15:54:09","slug":"mischa-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/mischa-ransomware\/5668\/","title":{"rendered":"Mischa : un ami du ransomware Petya, un ennemi pour le reste du monde"},"content":{"rendered":"<p>Petya et Mischa sont amis. Ils font presque tout ensemble\u2026<\/p>\n<p>Attendez, il ne s\u2019agit pas du livre \u00ab\u00a0Le russe pour les nuls\u00a0\u00bb, mais bien du blog de Kaspersky Daily. En r\u00e9sum\u00e9, Petya et Mischa sont tous les deux des ransomwares, qui s\u2019en prennent ensemble aux utilisateurs.<\/p>\n<p><strong><\/strong><\/p>\n<p>\u00a0<\/p>\n<p>Si vous \u00eates un adepte r\u00e9gulier de notre blog, ou si vous \u00eates \u00e0 l\u2019affut des derni\u00e8res actualit\u00e9s en mati\u00e8re de cybers\u00e9curit\u00e9, vous connaissez sans doute Petya. Nous avions d\u00e9j\u00e0 consacr\u00e9 deux articles \u00e0 son sujet, puisque quelques semaines apr\u00e8s <a href=\"https:\/\/www.kaspersky.fr\/blog\/petya-ransomware\/5481\/\" target=\"_blank\" rel=\"noopener\">son apparition<\/a>, un utilisateur de Twitter nomm\u00e9 <a href=\"https:\/\/twitter.com\/leo_and_stone\" target=\"_blank\" rel=\"noopener nofollow\">@leo_and_stone<\/a> avait trouv\u00e9 une solution de <a href=\"https:\/\/www.kaspersky.fr\/blog\/petya-decryptor\/5521\/\" target=\"_blank\" rel=\"noopener\">d\u00e9chiffrement de Petya<\/a><\/p>\n<p>Petya s\u2019est d\u00e9marqu\u00e9 de la multitude de ransomwares. En effet, il ne chiffrait pas seulement certains types de fichiers, mais plut\u00f4t tout le disque dur de l\u2019ordinateur qui devenait illisible lorsque le malware chiffrait sa <a href=\"https:\/\/fr.wikipedia.org\/wiki\/Master_File_Table\" target=\"_blank\" rel=\"noopener nofollow\"><em>Master File Table<\/em><\/a>. Par cons\u00e9quent, n\u2019importe quel utilisateur victime de Petya avait besoin d\u2019un autre ordinateur juste pour payer la ran\u00e7on. Eh bien, apr\u00e8s que leo_and_stone a cr\u00e9\u00e9 son outil de d\u00e9chiffrement, les victimes de Petya avaient toujours besoin d\u2019un autre ordinateur, mais cette fois pour d\u00e9chiffrer leurs fichiers <em>sans <\/em>en payer la ran\u00e7on.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> eats your hard drives \u2013 <a href=\"https:\/\/t.co\/BSqbmRBmGf\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/BSqbmRBmGf<\/a> <a href=\"https:\/\/t.co\/WpvijrPlSP\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/WpvijrPlSP<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/715232633316384772?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">March 30, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p class=\"BodyA\"><strong><span class=\"Hyperlink2\"><span lang=\"EN-US\">\u00c0 la rencontre de Mischa<\/span><\/span><\/strong><\/p>\n<p>Petya avait une faiblesse. Pour effectuer son sale boulot, ce dernier requ\u00e9rait des privil\u00e8ges d\u2019acc\u00e8s \u00a0root. A moins qu\u2019un utilisateur n\u2019autorise l\u2019acc\u00e8s \u00e0 ces privil\u00e8ges en appuyant sur le bouton \u00ab\u00a0Oui\u00a0\u00bb, Petya ne pouvait pas porter atteinte \u00e0 l\u2019ordinateur de l\u2019utilisateur. Par cons\u00e9quent, les cr\u00e9ateurs de Petya ont rem\u00e9di\u00e9 au probl\u00e8me en regroupant Petya avec un autre ransomware, au nom \u00e0 connotation russe, Mischa.<\/p>\n<p>Il existe deux diff\u00e9rences majeures entre Petya et Mischa. Petya vous prive de tout votre disque dur, tandis que Mischa chiffre uniquement certains types de fichiers. C\u2019est sans doute une bonne nouvelle. La mauvaise nouvelle est qu\u2019\u00e0 la diff\u00e9rence de Petya, Mischa ne requi\u00e8re pas de privil\u00e8ges d\u2019acc\u00e8s de l\u2019administrateur. Il semblerait que les cr\u00e9ateurs aient pens\u00e9 que Petya et Mischa feraient tr\u00e8s bien la paire.<\/p>\n<p>Mischa ressemble plus \u00e0 un ransomware normal qui appara\u00eet telle une fen\u00eatre pop-up de temps \u00e0 autre. Il utilise le chiffrement AES dans le but de chiffrer les fichiers de votre ordinateur. Comme l\u2019<a href=\"http:\/\/www.bleepingcomputer.com\/news\/security\/petya-is-back-and-with-a-friend-named-mischa-ransomware\/\" target=\"_blank\" rel=\"noopener nofollow\">indique<\/a> le blog Bleeping Computer, il ajoute une extension de quatre caract\u00e8res sur les fichiers chiffr\u00e9s, de mani\u00e8re \u00e0 ce que par exemple, test.txt devienne test.txt.7GP3.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> installs <a href=\"https:\/\/twitter.com\/hashtag\/Mischa?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Mischa<\/a> as failsafe via <a href=\"https:\/\/twitter.com\/threatpost?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@threatpost<\/a> <a href=\"https:\/\/t.co\/qtRhTNKzen\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/qtRhTNKzen<\/a> <a href=\"https:\/\/t.co\/eRDVoNqEl3\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/eRDVoNqEl3<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/731201838838583297?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">May 13, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>La liste des types de fichiers que Mischa pr\u00e9f\u00e8re pour son sinistre diner est plut\u00f4t grande, elle inclut m\u00eame\u00a0des fichiers .exe, ce qui signifie que Mischa emp\u00eache les utilisateurs de pouvoir utiliser presque tous les programmes. Lors du chiffrement cependant, Mischa \u00e9vite le r\u00e9pertoire de Windows et les dossiers des navigateurs install\u00e9s. Apr\u00e8s avoir effectu\u00e9 son sale boulot, il cr\u00e9e deux fichiers avec des instructions de paiement \u00e0 suivre par l\u2019utilisateur\u00a0: YOUR_FILES_ARE_ENCRYPTED.HTML and YOUR_FILES_ARE_ENCRYPTED.TXT.<\/p>\n<p>Petya et Mischa sont envoy\u00e9s via des e-mails d\u2019hame\u00e7onnage faisant croire qu\u2019il s\u2019agit de candidatures pour un emploi. Lors de la d\u00e9couverte du malware Mischa, celui-ci provenait d\u2019un fichier appel\u00e9 PDFBewerbungsmappe.exe (ce qui veut dire en allemand \u00a0\u00bb\u00a0documents PDF de candidatures\u00a0\u00ab\u00a0). L\u2019utilisation de la langue allemande dans le nom du fichier et la fa\u00e7on dont il a \u00e9t\u00e9 envoy\u00e9 en dit long sur sa principale cible\u00a0: les entreprises allemandes.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>Le #ransomware #Petya travaille d\u00e9sormais avec un complice, #Mischa.<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2F75EV&amp;text=Le+%23ransomware+%23Petya+travaille+d%C3%A9sormais+avec+un+complice%2C+%23Mischa.\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p>Lorsqu\u2019un utilisateur essaye d\u2019ouvrir le fichier .exe contenant \u00e0 la fois Mischa et Petya, une fen\u00eatre \u00ab\u00a0Contr\u00f4le de compte utilisateur\u00a0\u00bb appara\u00eet en pop-up, en demandant \u00e0 l\u2019utilisateur s\u2019il est pr\u00eat \u00e0 donner ses privil\u00e8ges d\u2019acc\u00e8s administrateur au programme. Il s\u2019agit d\u2019un moment d\u00e9sagr\u00e9able dans tous les cas. Si l\u2019utilisateur r\u00e9pond \u00ab\u00a0Oui\u00a0\u00bb, Petya est install\u00e9 et si \u00ab\u00a0non\u00a0\u00bb, il installe Mischa.<\/p>\n<p>Mischa semble encore plus avide\u00a0que Petya\u00a0: il demande pr\u00e8s de 193 bitcoins de ran\u00e7on, ce qui \u00e9quivaut environ \u00e0 875$, contre 0,9 bitcoins pour Petya.<\/p>\n<p>Fait amusant\u00a0(si on peut appeler \u00e7a \u00ab\u00a0amusant\u00a0\u00bb pour un ransomware)\u00a0: Petya est un nom russe, m\u00eame si Mischa semble aussi l\u2019\u00eatre, en r\u00e9alit\u00e9 il ne l\u2019est pas. Un russe utiliserait Misha, sans le \u00ab\u00a0c\u00a0\u00bb au milieu, \u00e7a lui para\u00eet plut\u00f4t \u00e9trange avec le \u00ab\u00a0c\u00a0\u00bb\u00a0!<\/p>\n<p>Malheureusement, aucun outil de d\u00e9chiffrement de Mischa n\u2019est actuellement disponible. Il en existe un <a href=\"https:\/\/www.kaspersky.fr\/blog\/petya-decryptor\/5521\/\" target=\"_blank\" rel=\"noopener\">pour Petya<\/a> mais il n\u00e9cessite toutefois un autre ordinateur et certaines connaissances en la mati\u00e8re.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Ransomware<\/a> bug leads to <a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> decryptor  <a href=\"https:\/\/t.co\/37fMAxbsRd\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/37fMAxbsRd<\/a> <a href=\"https:\/\/t.co\/8M84rY3jXG\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/8M84rY3jXG<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/719579558991831040?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 11, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>En r\u00e9sum\u00e9, si vous ne voulez pas vous retrouver victime de Petya ou Mischa, ou m\u00eame de Vasya, SuperCrypt, El Rapto, etc, nous vous recommandons de suivre les instructions suivantes\u00a0:<\/p>\n<ol>\n<li><strong>Faites des copies de sauvegardes<\/strong>. Fr\u00e9quemment et de fa\u00e7on assidue.<\/li>\n<\/ol>\n<ol start=\"2\">\n<li><strong>Ne faites confiance <\/strong><strong>\u00e0<\/strong><strong> personne et faites preuve de jugeote<\/strong>. Une candidature pour un emploi qui contient une extension .exe, \u00e7a parait louche. Ne l\u2019ouvrez pas\u00a0! Mieux vaut pr\u00e9venir que gu\u00e9rir\u00a0!<\/li>\n<li><strong>Installez une solution de s<\/strong><strong>\u00e9<\/strong><strong>curit<\/strong><strong>\u00e9<\/strong><strong> efficace<\/strong>. <a href=\"https:\/\/www.kaspersky.fr\/internet-security?redef=1&amp;reseller=fr_kdaily_pro_ona_smm__onl_b2c_kasperskydaily_lnk_______\" target=\"_blank\" rel=\"noopener\">Kaspersky Internet Security<\/a> dispose de nombreux niveaux de protection et il ne laissera pas Mischa et les autres ransomwares s\u2019infiltrer.<\/li>\n<\/ol>\n<p>Kaspersky Internet Security contient un composant anti-spam qui vous prot\u00e8ge des spams et des e-mails d\u2019hame\u00e7onnage. Il poss\u00e8de un antivirus qui d\u00e9tecte Mischa et Petya, les chevaux de Troie tels que Trojan-Ransom.Win32.Mikhail et Trojan-Ransom.Win32.Petr et se d\u00e9barrasse d\u2019eux. Il est \u00e9galement dot\u00e9 d\u2019une fonction <em>System Watcher <\/em>qui d\u00e9tecte une activit\u00e9 anormale (par exemple, des tentatives de chiffrer des fichiers multiples) et la bloque. <a href=\"https:\/\/www.kaspersky.fr\/total-security-multi-device?redef=1&amp;reseller=fr_kdaily_pro_ona_smm__onl_b2c_kasperskydaily_lnk_______\" target=\"_blank\" rel=\"noopener\">Kaspersky Total Security<\/a> dispose de toutes ces fonctionnalit\u00e9s, en plus d\u2019un outil de copies de sauvegarde automatiques.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Le programme d\u2019installation du ransomware Petya comprend d\u00e9sormais un autre ransomware compl\u00e9mentaire.<\/p>\n","protected":false},"author":696,"featured_media":5669,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6,686],"tags":[161,469,1601,1602,1474,353],"class_list":{"0":"post-5668","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"category-threats","9":"tag-cheval-de-troie","10":"tag-menace","11":"tag-mischa","12":"tag-misha","13":"tag-petya","14":"tag-ransomware"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/mischa-ransomware\/5668\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/mischa-ransomware\/7202\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/mischa-ransomware\/7142\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/mischa-ransomware\/8345\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/mischa-ransomware\/8201\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/mischa-ransomware\/11953\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/mischa-ransomware\/12135\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/mischa-ransomware\/7703\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/mischa-ransomware\/11431\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/mischa-ransomware\/11953\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/mischa-ransomware\/12135\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/mischa-ransomware\/12135\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/cheval-de-troie\/","name":"cheval de troie"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/5668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/696"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=5668"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/5668\/revisions"}],"predecessor-version":[{"id":14335,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/5668\/revisions\/14335"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/5669"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=5668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=5668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=5668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}