Pas un jour ne se passe sans que l'on entende parler de Ransomware, rançongiciel ou autre crypto virus.rapport EUROPOL )
En effet, si les internautes américains sont les plus ciblés (21,21% de tous les e-mails infectés par des ransomwares dans le monde ciblent les États-Unis), le Royaume-Uni et la France arrivent en seconde et troisième position avec 9,1% et 3,85%!
Mais, au fait, QU'EST CE QU'UN RANSOMWARE ?
Un RAMSOMWARE est un MALWARE créé pour que l'utilisateur infecté ne puisse plus utiliser son système d'information. Pour cela, le malware va chiffrer les données de l'utilisateur
Cela signifie "les données de ce fichier sont très importantes!"... Mais cela reste assez peu lisible, non? LOCKER .
- Les bloqueur de navigateur internet, une simple page web qui s'affiche en lieu et place de tout site web demandé (exemple : Browlock ), souvent très simple à supprimer.
=>Les fameux Crypto-ransomware qui chiffrent les données
Ceux-ci peuvent être à chiffrement symétrique (c.-à-d. et pour faire simple avec une seule clef) ou à chiffrement asymétrique (avec 2 clefs) : on retrouve notamment dans cette famille les TeslaCrypt, CTB-Locker, Cryptowall, Cerber et autre Locki...nomoreransom , section "types of ransomware" explique très bien tout cela).
(Source : White paper MacAfee LAbs, "Understanding Ransomware and Strategies to Defeat it")
Si les attaques de ce type ne cessent d'augmenter depuis 2015, c'est aussi le cas de variante de ce type de malware :
( source : rapport ENDGAME )
COMMENT SE DIFFUSE UN RANSOMWARE ?
Plusieurs scenarii d'infection sont possibles :
1 Exécution d'une pièce jointe
Même si le mode principal de diffusion reste aujourd'hui l'infection par document ou d'une pièce jointe infecté, généralement reçu par email, teamxrat , partie "How they attack", publié notamment par la Kaspersky Lab's Global Research & Analysis Team.
QUELS FICHIERS SONT SUCEPTIBLES D'ETRE CHIFFRES ?
Potentiellement tous.
KORBEN )
A noter : des chercheurs en sécurité ont mis au point un déchiffreur pour Jigsaw. POURQUOI LES RANSOMWARE SONT ILS DEVENUS AUSSI OMNIPRESENTS ?
La réponse est simple : Parce que cela génère beaucoup argent très facilement! Tout simplement!
Une rapide recherche sur le DARK Web et l'on obtient ...
"Crime-as-a-service" , comme nous le confirme la Revue CREOGN dans sa parution de mai 2016 : Knowledge de l'INSEAD a mis en ligne le 11 avril 2016 un article sur la professionnalisation des cybercriminels. Son auteur,[...], explique que l'activité criminelle sur Internet a pris un tour professionnel notamment grâce aux facilités offertes par le dark net. Véritable marché guidé par la demande, le crime s'est organisé en adaptant la qualité et la diversité de ses offres de service. Pour reprendre les termes du langage économique, le crime en tant que service (« crime as a service ») fonctionne aussi bien en Business-to-Business (entre professionnels) qu'en Business-to-Consumer (relation professionnel-consommateur). Ainsi, des criminels proposent à d'autres criminels des services tels que la fourniture de logiciels malicieux, la mise à disposition d'outils de développement de logiciels ou encore de capacités matérielles, voire des prestations d'ingénierie sociale destinées à commettre des arnaques. S'agissant des offres « grand public », la qualité croissante des produits proposés et le niveau d'auto régulation de ce marché parallèle sont soulignés : dans ce business trouble comme sur l'Internet « normal », la confiance est nécessaire pour faire des affaires… la situation des petites et moyennes entreprises est souvent précaire en termes de sécurité informatique et de protection contre la cybercriminalité , quelque forme qu'elle puisse revêtir."la plupart des entreprises infestées préfère payer! le mag IT ) NE PAS PAYER!
COMMENT FONCTIONNE UN RANSOMWARE ? Les exemples cités ici ne le sont qu'a titre d'information et pour favoriser la compréhension d'un malware. En aucun cas ces informations ne sont destinées à écrire un malware. Ne soyez pas idiot : l'utilisation d'un tel produit est prohibée par la loi! Vous risquez amende et peine de prison.
La principale fonctionnalité d'un ransomware est le chiffrement des données.
Chiffrement des données
Exemple de chiffrement asymétrique avec RSARSA est fondé sur la difficulté de factoriser des grands nombres, et la fonction à sens unique utilisée est une fonction "puissance"." (Source, cyptage.org)
afin de chiffrer le fichier test.txt avec celle ci!
Le résultat? Le fameux fichier devenu inexploitable en l'etat!
Cela est donc parfait pour en assurer la confidentialité et la sécurité, des lors que l'on possède la clef privée pour le décrypter! Mais si on ne possède pas cette dernière... il va être quasiment impossible de récupérer la donnée contenue dans le fichier VOILA POURQUOI LES RANSOMWARES UTILISENT UN SYSTEME DE CLE ASYMETRIQUE!
( source ESET ) CRYPY , récemment apparu, possède plusieurs particularités : d'abord, il est écrit entièrement en Python! Ensuite, et surtout, il possède la capacité de chiffrer chaque fichiers avec une clef de chiffrement différente!!! Enfin, à l'instar de Jigsaw, il est capable de supprimer des fichiers si la rançon n'est pas payée au bout de quelques heures (6, en l'occurrence)!!
de la facilité à réaliser le chiffrement...
Voici, par exemple, la lecture d'une Dll Windows et de ses fonctions exposées,
Ou du contenu d'une librairie de cryptographie fournie avec visualstudio, la fameuse "Wincrypt.h"
A noter que toutes ces fonctions sont largement explicitées sur MSDN, par exemple! Merci Microsoft...
Parcours des fichiers ...
A l'aide de l'algorithme Rijndael (NB : algorithme de chiffrement symétrique employé par le standard AES)
Ce code est issu du travail d'un chercheur en sécurité étranger que l'on ne nommera pas, celui-ci ayant publié l'intégralité du code nécessaire à la création d'un ransomware fonctionnel
Serveur "Command & Control"
Le serveur C&C -ou C2- est simplement un serveur accessible depuis Internet : serveur IRC, serveur web ou autre. Ce serveur constitue le nœud central et la principale vulnérabilité des infections.
Donc les développeurs de ransomware, inventifs, ont développés des techniques particulières pour renforcer la disponibilité et l'accessibilité de leur serveur (fast flux, double fast flux, DGA etc.), tout en utilisant des protocoles de communication sécurisés : https, TOR...
Donc, le virus s'exécute sur la machine infestée, connecte son serveur C&C pour récupérer, selon la version, la clef de déchiffrement de la clef de cryptage ou directement la clef de cryptage. Puis il scan le poste et chiffre les documents dont les extensions lui sont connus, scan le réseau pour, au choix et selon le malware, se propager et répéter l'opération ou bien directement chiffrer à partir du poste infesté.
COUPER la liaison Internet est particulièrement important dans le cas d'une attaque constatée.
Evidemment, chaque ransomware diffère et l'on ne peut donc que décrire de grands principes de fonctionnement, pas nécessairement limité à ce type de malware. Par ailleurs, il manque à notre analyse un certain nombre d'élément technique : offuscation du code, résilience du code...etc...
BIBLIOgraphie lacunaire :
"Sécurité informatique et Malwares, analyse des menaces et mise en oeuvre des contre-mesures", P Rascagneres, Ed. ENI, Avril 2016
WEBographie lacunaire :
http://villemin.gerard.free.fr/Crypto/RSA.htm https://stopransomware.fr
numero de mai 2016 )Le bitcoin et les monnaies cryptographiques )
