ZeroAccess



[Le Monde Informatique – 25/03/2016]

Pour empêcher l’exécution du rançongiciel Locky dans les ordinateurs sur lesquels il s’active par le biais de macros Word, la société de recherche en sécurité Lexsi a développé 4 parades, bloquant notamment le chiffrement des fichiers. Le fonctionnement de ces vaccins est décrit dans un billet de blog.

Un expert français de la société de recherche en sécurité Lexsi a trouvé plusieurs façons d’arrêter la propagation du ransomware Locky qui se diffuse par l’intermédiaire de macro-commandes intégrées à des fichiers Microsoft Word. Dans un billet, Sylvain Sarméjeanne expose les modifications que l’on peut apporter à un ordinateur pour le « vacciner » contre ce programme malveillant qui chiffre les fichiers d’un PC et réclame une rançon pour fournir la clé de déchiffrement. Cette méthode de vaccination avait déjà été appliquée au ver Conficker.C, rappelle ce spécialiste en rétro-ingénierie.

Relativement récent parmi les rançonlogiciels, Locky sévit tout de même depuis plusieurs semaines. Il est principalement distribué par le biais de messages spams qui tentent d’abuser les utilisateurs en se faisant par exemple passer pour des factures demandant l’ouverture d’une pièce jointe. Le malware s’exécute si les macros malveillantes sont activées dans le document Word, malgré la mise en garde généralement affichée par le traitement de texte qui avertit de la présence de macros dans les fichiers.

Créer des clés de registre et forcer la clé publique RSA
Par vaccin, Sylvain Sarméjeanne entend « toute modification mineure du système ayant pour objet de bloquer, sans intervention utilisateur, tout ou partie des effets néfastes liés à l’exécution d’un programme malveillant ». Le chercheur en sécurité en propose 4 dont un qui « utilise le fait de pouvoir forcer la clé publique RSA avec laquelle sont chiffrées les clés AES ». Le premier vaccin consiste à créer une clé de registre avec des ACL (Access control list) interdisant toute ouverture. L’une des premières choses que fait Locky est en effet de créer la clé de registre HKCU\Software\Locky après avoir vérifié les paramètres de langue du système. Au passage, on voit que le malware prend la précaution de pas infecter les systèmes configurés en langue russe.

Le deuxième vaccin réside dans la création de deux autres clés de registre, l’une d’elles empêchant le chiffrement les fichiers. Les deux derniers vaccins proposent de stopper l’avancée du malware, d’une part via une clé RSA corrompue et d’autre part via l’utilisation forcée d’une clé publique RSA sous le contrôle de l’utilisateur qui dispose de la clé privée associée. Ces méthodes de parade sont détaillées sur le billet publié par Lexsi. Il s’agit d’actions préventives pour se protéger contre la perte de fichiers que pourrait entraîner une attaque via Locky. Elles impliquent donc de prendre les devants en anticipant une éventuelle infection.

http://www.lemondeinformatique.fr/actualites/lire-lexsi-trouve-un-vaccin-pour-stopper-la-propagation-de-locky-64309.html


[Gregor Seither – IES News Service – 15/10/2012]

Grâce aux données collectées par la société F-Secure et Google Maps, il est possible de visualiser les ordinateur inféctés par le Ver ZeroAccess à travers le monde. Ce botnet existe depuis plusieurs années et est en mutation constante afin de contourner les mesures de sécurité informatique et logiciels antivirus. Sa méthode de progression est simple: une fois l’ordinateur infecté, ce dernier se connecté à un réseau pair-à-pair (P2P) où il reçoit des instructions pour télécharger d’autres logiciels nocifs. L’infection se fait généralement par le biais d’un cheval de troie, caché dans un téléchargement à l’air inoffensif ou via une page Web modifiée pour permettre l’infection de l’ordinateur qui la visite.

Aux dires de la société Sophos le maliciel  ZeroAccess aurait été installé environ 9 millions de fois et serait actuellement actif sur un million d’ordinateurs. Un réseau d’une telle ampleur est très lucratif, si tous les ordinateurs actifs sont utilisés pour des opérations de « Fraude au clic » ou pour  frauder les systèmes de monnaie électronique décentralisée comme Bitcoin, cela peut rapporter jusqu’à 100 000 US$ par jour à son opérateur.