CYB
Certaines victimes du
logiciel rançonneur, Bad Rabbit pourraient récupérer des fichiers verrouillés
par ce dernier en profitant de deux erreurs opérationnelles commises par les
auteurs du malware.
Les ransomwares ou
« rançongiciel » incarnent
le nouveau fléau d’internet. Depuis mardi dernier, un programme infecte les
ordinateurs pour en verrouiller le contenu. Ses auteurs l’ont prénommé Bad Rabbit, ou « méchant lapin » en anglais. Le
logiciel malveillant se diffuse depuis plusieurs sites de médias russes, rapporte Developpez.com.
Une rançon qui augmente avec le temps
Lors de sa visite sur
l’un des sites concernés, l’utilisateur voit s’afficher une pour mettre à jour
FlashPlayer. S’il accepte, l’internaute télécharge en fait un fichier pirate.
Tous ses documents deviennent inaccessibles, et les pirates lui réclament 0,05
bitcoins pour récupérer les données. Cela représente tout de même un peu plus
de 261 euros !
Bad Rabbit fournit à sa
victime un code individuel et une adresse torrent où se connecter. Après avoir
entré son code, l’internaute voit s’afficher une minuterie… Elle lui indique le
temps qu’il lui reste pour payer, avant que la valeur de la rançon n’augmente.
La société Kaspersky révèle cependant qu’il est possible de récupérer ses
fichiers sans payer.
#BadRabbit : une nouvelle épidémie de #ransomware progresse ! https://t.co/QDPA6zHRES pic.twitter.com/G1pHjsP92N
— Kaspersky Lab France (@kasperskyfrance) 27 octobre 2017
https://platform.twitter.com/widgets.js
Deux failles dans le code de Bad
Rabbit
Bad Rabbit ne supprime
pas les shadowcopy de volume. Cette
étape empêche normalement le logiciel de récupération de disque de trouver des
copies des fichiers originaux non chiffrés. Les victimes de Bad Rabbit pourraient donc « restaurer les versions originales des
fichiers chiffrés par le biais du mécanisme Windows standard ou d’un autre
utilitaire » selon Kaspersky.
Si les copies de volume
ne garantissent pas de récupérer tous leurs fichiers, elles permettent au moins
de récupérer certains documents. Plus difficile à exploiter, la seconde faille
concerne mots de passe de déchiffrement. Les chercheurs en cybersécurité
affirment être parvenus à l’extraire « lors
d’une session de débogage ».
Les chercheurs de
Kaspersky ont ensuite entré ce mot de passe « lorsque
le système a été verrouillé après le redémarrage… Celui-ci a été validé et le
processus de démarrage s’est poursuivi (…) Le malware n’efface pas le mot de passe généré de la mémoire, ce qui
signifie qu’il y a une petite chance de l’extraire avant la fin du processus
». Une bonne raison de ne pas céder au chantage contre écus sonnants et
trébuchants !
Ajouter un commentaire