Alerte sécurité : Nouvelle vague d’attaque virale de type « ransomware » à l’aide du virus Locky

L’écran que l’on obtient généralement à la fin de l’infection, quand le virus a terminé de chiffrer tous vos fichiers

Un nouveau virus du nom de Locky fait des ravages au niveau mondial depuis la mi-février, ces derniers jours il s’est intensifié en France. C’est un virus de type rançongiciel, c’est à dire qu’il chiffre vos fichiers quelques secondes après avoir réussi son infection.

D’après les premières informations que l’on a depuis le 16 février, l’attaque initiale aurait visé plus de 400 000 destinataires autours du monde. Depuis ça ne fait que s’aggraver.

Comment Locky fonctionne ?

Le transport du virus est effectué par un email (les langues les plus répandues sont utilisées). Ce mail prétend contenir une facture en attente de règlement.

Les criminels cherchent à vous faire activer les macros de cette fausse facture. Ne le faites pas !!!

Dès que la pièce jointe, un document Word contenant le code initial de l’attaque, est ouvert, si les macros sont autorisées dans votre logiciel Word, le code initial sauvegarde un fichier sur votre disque et le lance. Ce fichier, qui est la deuxième phase de l’attaque sert à télécharger la charge virale depuis Internet. La charge virale est souvent différente, ce qui rend sa détection difficile. Le virus chargé sur votre ordinateur lance alors son action et commence le chiffrement de vos documents. Tout cela se produit en quelques dizaines de secondes, plus rapidement encore si vous avez une bête de course et un très bon débit Internet.

A noter que nous constatons que beaucoup d’antivirus, même à jour, ont du mal à détecter l’attaque et pourtant les éditeurs ont réagi très rapidement dès l’apparition de cette nouvelle menace.

Le rançongiciel réalise son attaque sur les fichiers depuis un ordinateur Windows infecté, d’où l’importance de déconnecter du réseau votre ordinateur dès que vous constatez un comportement anormal. Il peut s’attaquer à tous les partages de fichiers en réseau, que le serveur de fichiers soit sous Windows, Mac OS X ou encore Linux. Il chiffre une grande quantité de types de fichiers différents incluant les documents bureautiques, les PDF, les images et photos, les films et même les codes sources si vous êtes développeur.

Fichiers chiffrés par Locky

Pire encore, si vous avez déjà un porte-monnaie virtuel contenant des Bitcoin, Locky peut le chiffrer aussi rendant inutilisables vos économies !

Après le chiffrement des fichiers, Locky supprime tous les clichés instantanés VSS (Volume Snapshot Service) de votre disque dur, sachant que ce service permet de créer du versionning de vos fichiers, si vous l’utilisiez pour vos sauvegardes locales, c’est foutu.

A la fin de l’attaque, Locky s’arrange pour vous montrer le message vous expliquant ce qui vient de vous arriver et comment payer la rançon. Ce message peut-être un fond d’écran installé à la place du vôtre ou bien un fichier texte qui s’ouvre.

Locky remplace votre fond d’écran pour s’assurer que vous saurez quoi faire

Si vous plongez dans le darknet en suivant les directives affichées, vous trouverez toutes les explications pour acheter des Bitcoins et payer la rançon grâce à cette monnaie virtuelle intraçable.

Différents modes de demandes de rançon demandée en échange d’une clé de dé-chiffrement

La vidéo suivante, réalisée par un confrère Suisse, montre par l’exemple, en 3 mn 30, comment fonctionne l’infection et le chiffrement des données de l’utilisateur.

Il n’y a malheureusement aucune solution, en dehors de restaurer vos données depuis une sauvegarde récente, pour récupérer vos fichiers.

Comment se prémunir contre ces attaques ?

Sauvegardez vos données quotidiennement et protégez vos backup

Sauvegardez, sauvegardez, sauvegardez !!! Nous ne le dirons jamais assez mais une bonne sauvegarde c’est une sauvegarde qui protège vos données contre tous les risques, dont l’attaque virale, mais pas que. Il existe plein de solutions professionnelles, pour toutes les bourses et tous les contextes.

Et rappelez-vous, une sauvegarde efficace, c’est une sauvegarde que l’on peut restaurer, donc n’attendez pas l’incendie pour vous rendre compte que votre sauvegarde était en panne depuis six mois. Testez la régulièrement.

N’activez pas les macros du pack Office trop facilement !

Ce n’est pas un hasard si Microsoft désactive par défaut les macros des différents logiciels du pack Office et ce, depuis de nombreuses années déjà. Une grande quantité de virus feront tout pour vous faire croire qu’il vous faut ré-activer vos macros afin de réussir leur attaque.

Vos macros sont toujours activées parce que vous en avez besoin pour une application professionnelle ? Il est peut-être temps d’améliorer cette application pour éviter de laisser présent ce trou de sécurité.

Soyez toujours en alerte vis-à-vis des messages contenant des pièces jointes

Le succès du hameçonnage repose sur la crédibilité du message. L’attaquant fait tout pour vous faire croire qu’il vous faut ouvrir son fichier. Quand le mail reçu est dans une langue étrangère, ou en français plein de fautes, vous ne tomberez normalement pas dans le piège. Malheureusement les attaques sont de plus en plus sophistiquées et mûrement préparées. Soyez donc sensible aux signaux faibles :

• Est-ce que je connais cet expéditeur ?
• Pourquoi m’envoie t-il une facture ?
• De quoi parle son mail ?

En cas de doute, supprimez le. Si c’est réellement une véritable facture, la personne vous appellera !

Ne restez pas administrateur pour rien, c’est mal !

Vous ne devez pas travailler sur votre ordinateur avec les privilèges d’administrateur. Pire encore, vous ne devez pas être membre des administrateurs du domaine, si votre entreprise utilise un domaine Microsoft Active Directory.

Vous ne pouvez pas faire autrement à cause d’un logiciel métier qui nécessite les droits d’administration ? Contactez l’éditeur de ce logiciel (ou votre développeur pour un outil développé en interne) et demandez lui de faire mieux.

Installez des viewers Microsoft Office

Utilisez des visionneuses Microsoft Office. Ainsi vous pouvez ouvrir en lecture seule les fichiers bureautiques que vous recevez par email. Ce sera une habitude à prendre mais elle peut vous permettre de réduire les risques.

Maintenez vos systèmes et logiciels à jour, tout le temps et sans attendre !

Le maintien en conditions opérationnelles d’un système d’information repose sur la veille technique, la surveillance et la maintenance.

Au niveau de la maintenance l’une des tâches les plus importantes est d’appliquer les mises à jour des systèmes et des logiciels au fur et à mesure qu’elles sont mises à disposition par les éditeurs. Il est inadmissible de trouver encore, en 2016, des parcs de centaines d’ordinateurs et serveurs qui n’ont fait l’objet d’aucune maintenance depuis des mois, parfois des années. C’est un comportement criminel !