Discussion :

[Florian_PB]

Craignant la fuite de ses exploits par les Shadow Brokers, la NSA a indiqué à Microsoft une faille critiqueque l'éditeur s'est empressé de corriger

Lol la NSA Lanceur d'Alerte on se fout ouvertement de la gueule du monde là !

[mh-cbon]

Article un peu absurde tout de même,

Considéré que c'est l'état nation qui organiserait la découverte
et l'utilisation de hack est un genre de raccourci qui me paraît mensonger.

On ne parle jamais d'autres choses que de la NSA, ou du mossad, ou du kgb hein...
Les états sont bizarrement toujours à la traîne, preuve étant que c'est la NSA qui discute directement avec 'crosoft.

> Alors que peu de critiques disent que la NSA ne devrait plus développer de logiciels malveillants,

Encore une fois affirmation biaisée, qui sont ces critiques ? A qui a t'on demandé ? au électeurs ? Aux responsables de la NSA?
Si la phrase eut été
"Alors que peu de critiques disent que [ce qu'il te plait] ne devrait plus développer de missiles tomahawk,"
pensez vous que les syriens eut été un groupe représentatif de cette affirmation?

> Richard Ledgett, qui a pris sa retraite le mois dernier en tant que directeur adjoint de la NSA, a déclaré que divulguer toutes les failles empilées par l’agence équivaudrait à un « désarmement unilatéral ».

Et oui c'est le problème de faire des coups de putes à tout le monde,
tout le monde veut te faire des coups de putes par la suite,
sauf si tu es suffisamment crains.......


Sur le reste, totalement d'accord avec Florian_PB, tentative éhontée
de redorée le blazon de la NSA en rejetant la faute sur un état soit disant responsable,
ce scandale mériterait, à minima, plusieurs débauchage.


La suite n'est que supputations et imagination,

Mais plus intéressant encore, selon moi, et que l'article ne dit pas très explicitement,
c'est que la NSA va s'engager dans la création de méthodes de contrôle interne pour éviter de tels écueil à l'avenir.
Vu leurs degré d'avance dans tous les domaines,
ils vont pondre un truc magnifique, quelque chose qui fonctionnera vraiment bien,
tellement bien qu'on peut imaginer que cela arrive dans le civil
et que par capillarité cela mènera à la structuration d'un réseau géant de surveillance et de contrôle en entreprise.

Conséquemment dans un monde où les entreprises sont capables de maîtriser les flux de données
que les employés consomment dans l'entreprise,
les lanceurs d'alertes, c'est mort, fini, capute, basta.

Le tout justifier par de bons sentiments
puisque c'est quand même pour nous protéger
des vilains s/voleurs d'informations/lanceurs d'alertes/.

Voilà, The WP mind fucker.

** Aujourd'hui la surveillance se base sur la volonté du surveillé, tu n'es surveillé que SI:
tu as une carte de crédit / un portable / un ordinateur / un compte fb / twitter etc etc etc
Bien sûr il existe des mesures structurelles pour nous y pousser,
pas de cartes bleus ? Pas d'achats en ligne / Pas de tirettes / Pas de femme.
Pas de portables ? Pas de vie sociale.
Pas de FB ? même combat. Etc etc
Mais avec un système structuré autour du lieu de travail,
on pousse le bouchon encore plus loin puisque
pas de travail == mort programmée
(affirmation vrai pour 95% des gens,
étant donné qu'ils refusent d'être exclus du "progrès")

[Aurelien.Regat-Barrel]

Eh beh, c'est passionné... histoire de nuancer un peu, la surveillance n'est pas à sens unique : nos politiciens et autres dirigeants du CAC40 sont eux aussi sous surveillance de notre part. Ces fameux réseaux sociaux font sauter la tête d'un haut responsable au moindre scandale filmé avec nos smartphones.

C'est l'autre revers de la médaille qu'il ne faut pas oublier sinon on peut vite sombrer dans la désespoir et une certaine paranoïa. Et de manière générale, beaucoup de technologies qui étaient à la base des outils de contrôle et sûreté étatiques se sont retournés à la longue contre les gouvernements : internet, cryptographie, et maintenant NSA... si on le regarde comme ça, ça en devient même jouissif

pas de cartes bleus ? Pas d'achats en ligne / Pas de tirettes / Pas de femme.

Voilà qui fera plaisir à nos lectrices...

[Andarus]

Pourquoi supputer que c'est forcément une erreur ?

La réponse dans un webcomics

[mh-cbon]

Eh beh, c'est passionné... histoire de nuancer un peu, la surveillance n'est pas à sens unique : nos politiciens et autres dirigeants du CAC40 sont eux aussi sous surveillance de notre part. Ces fameux réseaux sociaux font sauter la tête d'un haut responsable au moindre scandale filmé avec nos smartphones.

C'est l'autre revers de la médaille qu'il ne faut pas oublier sinon on peut vite sombrer dans la désespoir et une certaine paranoïa. Et de manière générale, beaucoup de technologies qui étaient à la base des outils de contrôle et sûreté étatiques se sont retournés à la longue contre les gouvernements : internet, cryptographie, et maintenant NSA... si on le regarde comme ça, ça en devient même jouissif

J'aimerais bien adhérer à 200% à cette manière de voir les choses,
mais je n'y peut rien, je trouve toujours des exemples de responsables
qui nous bafoue sans que des conséquences soient appliquées.
Et ce n'est pas faute de voir le délit envahir les journaux et autres réseaux sociaux,
c'est juste que le système de la punition fonctionne différemment pour ces gens là.
Justice à deux vitesses fabuleusement démontrée dans la récente affaire lagarde.

Voilà qui fera plaisir à nos lectrices...

Oui, bein qu'elles se plaignent, on en discutera, parce que bon l'amour c'est bien beau, mais faut faire manger les petits.
D'ici là je veux bien qu'on me montre un exemple de personne qui se serait marié avec un sdf.
Après de là à faire de ce cas une généralité, j'opte encore pour ma proposition : x

[CaptainDangeax]

Le problème, là, c'est que vous parlez tous comme des informaticiens, sans voir un autre aspect du monde des utilisateurs : le monde dans lequel un computer est bêtement utilisé pour piloter autre chose, je pense à mon cardiologue qui équipe ses patients pour 24 h avec un appareil portatif qui enregistre toutes les 30 minutes tout un tas de paramètres grâce à des sondes que se trimballe le patient, posées par la secrétaire qui a eu une formation pour ça.

Le lendemain le patient revient, on lui enlève les sondes et l'appareil, qu'on va raccorder à une machine chargée de lui récupérer pour analyse les données captées pendant ces 24 h.
J'ai jeté un œil par-dessus l'épaule de la secrétaire, la machine tourne sous XP.

Et pour que le cardio puisse analyser les données depuis son poste et les archiver dans le dossier du patient, ces machines sont en réseau.

Et pour que le cardio puisse envoyer son rapport au médecin traitant par e-mail, sa machine est connectée à travers une box, et voilà...

Pas la peine de lui parler de mises à jour critiques de sécurité de son vieux XP, même pas il sait qu'il a un XP, ce qu'il sait, c'est qu'il a une machine qui lui permet de récupérer des données pour qu'il les analyse, point barre.

Et quand je vous vois parler de mettre les machines, les parcs, à jour, tout ça parce que les fournisseurs de ces machines les font évoluer exactement comme s'ils s'adressaient à des geeks qui changent de matos tous les 6 mois, ben non, c'est pas comme ça dans le monde des utilisateurs professionnels (je pense aussi à tous ces gens qu'on a obligé à s'équiper, toubibs, infirmiers, etc. Je reste dans le médical mais c'est partout pareil.)

Vous imaginez si les fabricants de carburants décidaient de changer de version tous les 2 ans, obligeant tous les possesseurs de bagnoles camions engins divers et variés etc. à se mettre à jour en changeant de moteur ?
Impensable ?
Ben ça devrait être pareil en informatique.
Qu'on nous fasse des OS sans failles et le problème sera réglé.

Pour faire court et simple : le cardio voit son ordi exactement comme le maçon voit sa perceuse : un outil pour faire des choses pour lesquelles l'outil a été conçu, un point c'est tout.
Le maçon ne fait pas de mise à jour de sécurité de son outil ? Le toubib non plus.

Le maçon met à jour sa perceuse avec quelques gouttes d'huile dans les roulements à intervalle régulier. Il en profite pour graisser aussi la crémaillère de sa bétonneuse. Et ton cardio qui roule en audi qui va au garage tous les 30000 pour vidanger sa boite DSG ne comprend pas que son ordinateur a AUSSI besoin d'un minimum de maintenance préventive ?
Bon sinon, le truc trollesque sur le "vous verrez quand on trouvera la faille sur Linux" et gna gna gna et gna gna gna...
Linux est là depuis 26 et ta super faille genre celle qui a permis wannacrypt (mais avant il y avait eu blaster) on ne l'a toujours pas trouvé. Pourtant, je peux te garantir qu'il y a des types qui cherchent ! Rappelle-moi combien d'infections mondiales ont touché les systèmes MS et uniquement MS depuis 1991 ? ça fait beaucoup. Beaucoup trop. Et pourquoi beaucoup trop ? Parce que MS a conçu ses OS sans reprendre les concepts développés dans Unix qui est dès le départ multi-tâches, multi-utilisateurs, réseau, avec une bonne séparation entre le noyau et les applications, l'utilisateur standard n'a aucun droit de modification sur le système et des fichiers non exécutables par défaut. C'est tellement simple quand je l'écris qu'on se demande pourquoi il n'y a pas eu un mec chez MS pour reprendre ces 2 idées : l'utilisateur n'a aucun droit de modification du système, les fichiers sont non exécutables par défaut. Ton cardiologue, tu lui montes son /home en noexec sur un Linux, ça ne fera aucune différence pour lui au quotidien et aucun fichier venu de l'extérieur ne pourra s'exécuter sur sa machine, le mettant tout simplement à l'abri.

[disedorgue]

Le maçon met à jour sa perceuse avec quelques gouttes d'huile dans les roulements à intervalle régulier. Il en profite pour graisser aussi la crémaillère de sa bétonneuse. Et ton cardio qui roule en audi qui va au garage tous les 30000 pour vidanger sa boite DSG ne comprend pas que son ordinateur a AUSSI besoin d'un minimum de maintenance préventive ?
Bon sinon, le truc trollesque sur le "vous verrez quand on trouvera la faille sur Linux" et gna gna gna et gna gna gna...
Linux est là depuis 26 et ta super faille genre celle qui a permis wannacrypt (mais avant il y avait eu blaster) on ne l'a toujours pas trouvé. Pourtant, je peux te garantir qu'il y a des types qui cherchent ! Rappelle-moi combien d'infections mondiales ont touché les systèmes MS et uniquement MS depuis 1991 ? ça fait beaucoup. Beaucoup trop. Et pourquoi beaucoup trop ? Parce que MS a conçu ses OS sans reprendre les concepts développés dans Unix qui est dès le départ multi-tâches, multi-utilisateurs, réseau, avec une bonne séparation entre le noyau et les applications, l'utilisateur standard n'a aucun droit de modification sur le système et des fichiers non exécutables par défaut. C'est tellement simple quand je l'écris qu'on se demande pourquoi il n'y a pas eu un mec chez MS pour reprendre ces 2 idées : l'utilisateur n'a aucun droit de modification du système, les fichiers sont non exécutables par défaut. Ton cardiologue, tu lui montes son /home en noexec sur un Linux, ça ne fera aucune différence pour lui au quotidien et aucun fichier venu de l'extérieur ne pourra s'exécuter sur sa machine, le mettant tout simplement à l'abri.

Pas trop d'accord avec toi:
-Déjà, il y a moins de monde sous linux (ou autre unix like) que sous windows *, donc il est compréhensible que ce soit celui-ci qui est le plus attaqué.
-Ensuite, il n'y a pas besoin de devenir root pour causer des problèmes, en faisant simple, suffit juste de pourrir les fichiers appartenant à la personne. Même si le système de la personne n'est pas en péril, si ces datas le sont, c'est tout comme. De plus, un particulier qui passe sous linux, il va créer un compte (aller, mettons nous dans le monde des bisounours ), par personne dans le foyer.
-Le truc des fichiers exécutables, c'est fait par une action utilisateur, là, on est sur un autre souci, celui ou l'utilisateur n'intervient pas pour donner un accès userland ou autre.

[SkyZoThreaD]

Et ouais, il suffit d'installer n’importe quel pentest gratuit pour voir la liste des failles exploitables sur les vieux systèmes GNU.
La différence notable avec les produits fermés, c'est que les white hats n'ont pas forcément besoin que la faille se manifeste pour la détecter. On voit souvent dans les commentaires Git, des remerciements à tel ou tel qui a trouvé une faille et l'a immédiatement remonté aux devs. Et quand il remontent l'info, ils donnent directement le code corrigé, ce qui économise beaucoup de temps aux devs qui n'ont plus qu'a valider la correction faite. C'est beaucoup plus rapide.
Mais il faut faire attention quand on vante le GNU en disant que c'est sans Virus, sans failles etc... Ça vaut aussi pour Apple d'ailleurs : Les frameworks de la NSA && ||CIA touchaient les trois systèmes et même plus

[Jipété]

Yep !

Et ton cardio qui roule en audi qui va au garage tous les 30000 pour vidanger sa boite DSG ne comprend pas que son ordinateur a AUSSI besoin d'un minimum de maintenance préventive ?

Ben non, le monde est ainsi fait.
Pi mon cardio il ne sait pas ce qu'il a, le vendeur ne lui a rien dit ! Le vendeur de l'Audi lui a dit de passer tous les 30000 au garage, le vendeur du bouzin qui pilote les appareils de mesure lui a dit d'appuyer ici pour récupérer les données, là pour réinitialiser les enregistreurs, encore ici pour ceci et là pour cela et ça faisait déjà trop, alors parler en plus de maintenance alors que le vendeur ne sait pas ce que c'est (normal, il est là pour vendre, pas pour emm...der le client), laisse tomber !

[...] MS a conçu ses OS sans reprendre les concepts développés dans Unix qui est dès le départ multi-tâches, multi-utilisateurs, réseau, avec une bonne séparation entre le noyau et les applications, l'utilisateur standard n'a aucun droit de modification sur le système et des fichiers non exécutables par défaut. C'est tellement simple quand je l'écris qu'on se demande pourquoi il n'y a pas eu un mec chez MS pour reprendre ces 2 idées : l'utilisateur n'a aucun droit de modification du système, les fichiers sont non exécutables par défaut.

En fait, le problème c'est qu'on est parti de rien, d'assemblages de circuits logiques 14 broches à coups de fer à souder au fond du garage, et de code pissé sur un bout du carton emballant la pizza.
Et après beaucoup de nuits blanches les gars sont arrivés à avoir un machin plein de fils qui affichait "hello world!" sur une vieille télé, ils étaient tout contents (on les comprend) et ils ont continué à partir de là.

Personne n'a eu l'idée de tout remettre à plat pour construire quelque chose de professionnel, ils ont juste rajouté des couches aux couches, sans oublier de préserver la sacro-sainte rétro-compatibilité qui oblige à maintenir des machins innommables.
Même NT, qui a été vendu à l'époque comme une révolution faisant table rase du passé n'a pas tenu cette promesse.

Et donc faut pas s'étonner de ce qui arrive, et qui continuera à arriver, tant que tout ne sera pas remis à zéro -- ce qui semble impossible, àmha.

[...] Ton cardiologue, tu lui montes son /home en noexec sur un Linux, ça ne fera aucune différence pour lui au quotidien et aucun fichier venu de l'extérieur ne pourra s'exécuter sur sa machine, le mettant tout simplement à l'abri.

Tu sais quoi ? Même moi il m'arrive d'être obligé de mettre les mains dans le cambouis à coups de console root quand mon Linux décide de faire des siennes ! Oh pas souvent, on est d'accord, mais quand ça arrive je pense à mon cardio, à ma fille, à une copine artiste peintre qui sait très bien mettre ses œuvres en ligne sur FB, qui sait faire un peu de traitement de texte pour faire ses pubs mais qui m'appelle au secours si l'imprimante coince.
Voilà, quoi, ça c'est le quotidien des vrais gens.
Nous, nous sommes un cas particulier.

[Florian_PB]

Tu sais quoi ? Même moi il m'arrive d'être obligé de mettre les mains dans le cambouis à coups de console root quand mon Linux décide de faire des siennes ! Oh pas souvent, on est d'accord, mais quand ça arrive je pense à mon cardio, à ma fille, à une copine artiste peintre qui sait très bien mettre ses œuvres en ligne sur FB, qui sait faire un peu de traitement de texte pour faire ses pubs mais qui m'appelle au secours si l'imprimante coince.
Voilà, quoi, ça c'est le quotidien des vrais gens.
Nous, nous sommes un cas particulier.

Amen ! Pour le commun des mortels nous sommes comme des super-héros, il ne faut jamais qu'on oublie qu'on est une exception en matière d'utilisation de l'outil informatique et que les gens "normaux" ne voient que la partie émergée de l'iceberg : l'interface utilisateur.
C'est comme à un concert nous voyons que les artistes mais on ne voit pas le taff de fou fait par les roadies derrière pour que tout se passe bien, bah imaginez que l'interface c'est le concert et nous les roadies. Nous sommes les roadies de l'informatique.

[Stéphane le calme]

Les PC Windows XP infectés par WannaCry pourraient déchiffrer les fichiers sans payer de rançon,
un outil est disponible, mais il a une portée limitée

Selon Adrien Guinet, un chercheur travaillant pour le compte de la start-up française Quarkslab, les propriétaires de certains ordinateurs Windows XP infectés par le ransomware WannaCry seraient en mesure de déchiffrer leurs données sans passer par la case « paiement de la rançon ».

À cet effet, il a publié un outil qui « permet de récupérer les nombres premiers de la clé privée RSA utilisée par Wanacry ». Le logiciel « y parvient en les recherchant dans le processus wcry.exe. C'est le processus qui génère la clé privée RSA. Le problème principal est que CryptDestroyKey et CryptReleaseContext n'effacent pas les nombres premiers de la mémoire avant de libérer la mémoire associée ».

Le chercheur précise qu’il ne s’agit pas en réalité d’une erreur de la part des auteurs du ransomware étant donné qu’ils ont utilisé correctement l’API Windows Crypto : « En effet, pour avoir fait des tests, sous Windows 10, CryptReleaseContext nettoie la mémoire (et donc cette technique de récupération n’y fonctionnera pas). Elle peut fonctionner sous Windows XP, car, dans cette version, CryptReleaseContext ne fait pas le nettoyage. En outre, MSDN indique ceci, pour cette fonction: "Après l’appel de cette fonction, la CSP libérée n'est plus valide. Cette fonction ne détruit pas les conteneurs de clés ou les paires de clés". Donc, il semble qu'il n'y ait aucun moyen propre et multiplateforme sous Windows pour effacer cette mémoire ».

Le logiciel n'a pas encore été testé pour voir s’il fonctionne de manière fiable sur une grande variété d'ordinateurs XP et, même s'il fonctionne, il y a probablement des limites : « Pour fonctionner, votre ordinateur ne doit pas avoir été redémarré après avoir été infecté. Notez également que vous avez besoin d'un peu de chance pour que cela fonctionne (voir ci-dessous), et cela pourrait ne pas fonctionner dans tous les cas ! », a prévenu le chercheur.

Le ransomware utilise l'interface Microsoft Cryptographic Application Program incluse dans Windows pour gérer plusieurs des fonctions, y compris la génération de la clé pour le chiffrement et le déchiffrement des fichiers. Après avoir créé et sécurisé, la clé, l'interface efface la clé sur la plupart des versions de Windows.

Une limitation précédemment ignorée dans XP, cependant, peut empêcher l'effacement dans cette version de Windows. En conséquence, les nombres premiers utilisés pour générer une clé secrète WannaCry peuvent rester intacts dans la mémoire de l'ordinateur jusqu'à ce que la machine soit éteinte. Wannakey a pu explorer avec succès la mémoire d'une machine XP infectée et extraire les variables p et q sur lesquelles la clé secrète était basée.

D’ailleurs, dans un échange sur Twitter avec Matt Suiche, un chercheur en sécurité et accessoirement fondateur de Comae Technologies, Guinet a confirmé que, dans le cas que Suiche lui a présenté, il a été en mesure de récupérer la clé privée sur un système Windows XP.

Jusqu'à présent, il n'y a aucune indication que la limitation qui a permis à Guinet de récupérer la clé WannaCry est présente dans des versions plus récentes de Windows. Cela signifie que les victimes de WannaCry sur d'autres versions n'ont toujours aucun moyen connu de déchiffrer leurs données autrement que de payer la rançon. Néanmoins, la découverte de Guinet donne déjà un début de solution.

Les entreprises, les gouvernements et les particuliers dans 99 pays à travers le monde ont été victimes de plus de 75 000 attaques de cette souche de ransomware en quelques heures seulement. Parmi les victimes, des services d'hôpitaux en Angleterre, des entreprises telles que Telefónica en Espagne, ou même des écoles et universités.

Le ransomware Wannacrypt (ou Wcry, WanaCry, WanaCrypt, Wanna Decryptor) exige 300 $ en bitcoins pour le déverrouillage des fichiers qu’il a chiffrés, une rançon qui double après trois jours. Les utilisateurs sont également menacés de voir tous leurs fichiers supprimés en permanence si la rançon n'est pas payée dans l’intervalle d’une semaine.

Source : WannaKey (GitHub), Twitter Matthieu Suiche

[Marco46]

Après le botnet qui fixe la faille de sécurité par laquelle il est rentré, on va avoir la faille de sécurité qui va permettre de réparer les dégâts d'un virus qui agit grâce à une faille de sécurité.

Tu m'étonnes que les gens n'y comprennent rien

[atha2]

Ça peut toujours servir mais combien d’utilisateurs ont redémarré leurs PC pour voir s'il pouvait ainsi récupérer l'accès à leur donnée ? La plupart à mon avis

[Uther]

Après le botnet qui fixe la faille de sécurité par laquelle il est rentré, on va avoir la faille de sécurité qui va permettre de réparer les dégâts d'un virus qui agit grâce à une faille de sécurité.

Tu m'étonnes que les gens n'y comprennent rien

Oui enfin le botnet qui corrige la faille par laquelle il est entrée, en fait c'est très courant : ça évite qu'une autre personne reprenne le contrôle de la machine que l'on a contaminé.

[Stéphane le calme]

WannaCry : un nouvel outil de déchiffrement a été testé et fonctionne de Windows XP à Windows 7,
le prérequis de ne pas redémarrer l'ordinateur reste valable

Adrien Guinet, un chercheur travaillant pour le compte de la start-up française Quarkslab, a publié un outil qu’il a appelé WannaKey pour effectuer la récupération de clé RSA sur les machines Windows XP qui ont été infectées par le ransomware WannaCry. Précisons que son outil ne cherche pas la clé réelle, mais les nombres premiers en mémoire pour recalculer la clé elle-même.

Le logiciel « y parvient en les recherchant dans le processus wcry.exe. C'est le processus qui génère la clé privée RSA. Le problème principal est que CryptDestroyKey et CryptReleaseContext n'effacent pas les nombres premiers de la mémoire avant de libérer la mémoire associée ».

Le chercheur précise qu’il ne s’agit pas en réalité d’une erreur de la part des auteurs du ransomware étant donné qu’ils ont utilisé correctement l’API Windows Crypto : « En effet, pour avoir fait des tests, sous Windows 10, CryptReleaseContext nettoie la mémoire (et donc cette technique de récupération n’y fonctionnera pas). Elle peut fonctionner sous Windows XP, car, dans cette version, CryptReleaseContext ne fait pas le nettoyage. En outre, MSDN indique ceci, pour cette fonction: "Après l’appel de cette fonction, la CSP libérée n'est plus valide. Cette fonction ne détruit pas les conteneurs de clés ou les paires de clés". Donc, il semble qu'il n'y ait aucun moyen propre et multiplateforme sous Windows pour effacer cette mémoire ».

Dans un échange sur Twitter avec Matt Suiche, un chercheur en sécurité, MVP Microsoft et accessoirement fondateur de Comae Technologies, Guinet a confirmé que, dans le cas que Suiche lui a présenté, il a été en mesure de récupérer la clé privée sur un système Windows XP.

Matt Suiche a confirmé que le développeur Benjamin Delpy, Directeur de Projets Sécurité chez Banque de France, a commencé à travailler sur sa propre solution à toutes fins utiles qui s’appuie sur OpenSSL et la méthodologie d’Adrien pour récupérer la clé de la mémoire. Il s’est également servi de leurs recherches en commun (celles de Suiche et lui) pour résoudre les problèmes de format de fichier et créer une version 100 % compatible avec le système d'exploitation Windows de Windows XP à Windows 7.

« En fait, WanaKiwi de Benjamin Delpy fonctionne sur Windows XP (x86 confirmé) et Windows 7 (x86 confirmé). Cela impliquerait qu'il fonctionne pour chaque version de Windows de XP à 7, y compris Windows 2003 (x86 confirmé), Vista et 2008 et 2008 R2 », a indiqué le chercheur.

« WanaKiwi recrée également les fichiers .dky attendus du ransomware par les attaquants, ce qui le rend compatible avec le ransomware lui-même. Cela empêche également WannaCry de chiffrer d'autres fichiers », a assuré Suiche.

Comme pour la méthodologie de Guinet, cette méthode repose sur la recherche de nombres premiers en mémoire si la mémoire n'a pas été réutilisée : cela signifie qu'après une certaine période de temps, la mémoire peut être réutilisée et ces nombres premiers peuvent être effacés. De plus, cela signifie aussi que la machine infectée ne devrait pas être redémarrée.

Les entreprises, les gouvernements et les particuliers dans 99 pays à travers le monde ont été victimes de plus de 75 000 attaques de cette souche de ransomware en quelques heures seulement. Parmi les victimes, des services d'hôpitaux en Angleterre, des entreprises telles que Telefónica en Espagne, ou même des écoles et universités.

Le ransomware Wannacrypt (ou Wcry, WanaCry, WanaCrypt, Wanna Decryptor) exige 300 $ en bitcoins pour le déverrouillage des fichiers qu’il a chiffrés, une rançon qui double après trois jours. Les utilisateurs sont également menacés de voir tous leurs fichiers supprimés en permanence si la rançon n'est pas payée dans l’intervalle d’une semaine.

Source : blog Matt Suiche

[Coriolan]

WannaCry : c'est Windows 7 qui a le plus contribué à la propagation du ransomware avec 98 % des infections
Windows XP n'a joué qu'un rôle minime

Une semaine après l’attaque dévastatrice du ransomware WannaCrypt, les rapports des chercheurs et firmes de sécurité continuent de surgir à propos de cette attaque. En effet, les experts de sécurité veulent expliquer les mécanismes qui ont aidé le malware à se propager avec une vitesse éclair qui a pris le monde par surprise.

Le dernier rapport en date vient de Kaspersky Lab, la firme de sécurité a constaté que la part de lion des systèmes touchés n’a pas été celle de Windows XP, mais plutôt Windows 7. Plus de 98 % des systèmes affectés par l’attaque tournaient sous Windows 7.

Selon les chiffres publiés par la firme, la version 64 bits de Windows 7 a été la plus affectée, représentant 60,35 % de toutes les infections. En deuxième position, Windows 7 a été touché par 31,72 % des attaques et 6,28 % pour Windows 7 Home (les versions 32 bits et 64 bits combinées). À ce point, on pourrait s’attendre à ce que les infections de Windows XP occupent la place suivante, mais ça n’a pas été le cas. Windows 2008 R2 Server a été plus touché avec un peu moins de 1 % des infections. En réalité, le pourcentage des infections de Windows XP est négligeable puisqu’il ne dépasse pas les 0,10 % (moins d’un système infecté sur mille).

Windows 7 continue d’être la version de Windows la plus utilisée, faisant tourner quatre fois plus d’ordinateurs que Windows 10, la dernière version de Windows en date lancée publiquement par Microsoft le 29 juillet 2015. Selon NetMarketShare, Windows 7 représente 48,5 % du marché des OS de bureau alors que Windows XP ne représente que 7,04 %. C’est donc sans surprise que 7 a été plus affecté par l’attaque de Wcry, mais même avec sa part de marché, le pourcentage de 98 % est stupéfiant !

Ces nouveaux chiffres viennent après que des rapports antérieurs ont donné l’illusion que Windows XP a joué un rôle important dans la propagation de l’attaque du fait que l’OS est obsolète et reste encore très utilisé. Il n’en reste pas moins que Microsoft a réagi et a publié en urgence des mises à jour de sécurité, y compris pour Windows XP qui a reçu son premier patch en trois ans.

Il faudrait savoir que les utilisateurs de Windows 7 ont reçu un patch de sécurité des mois avant l’attaque, mais le correctif de Windows XP n’a été rendu disponible qu’après la révélation de l’attaque en tant que mesure d’urgence et après que le mal a été fait. Le patch a été disponible pour les utilisateurs inscrits dans le programme payant du Custom Support destiné à étendre le support de Microsoft pour son vieil OS. Cela veut dire que la majorité des utilisateurs de Windows XP sont restés vulnérables à l’attaque, et chaque machine tournant sous XP a constitué un vecteur d’attaque potentielle pour le ransomware. Heureusement, les chiffres de Kaspersky montrent que le rôle de XP dans la propagation de WCry a été minime.

Pour ceux touchés par l’attaque, les chercheurs de sécurité ont commencé à publier des outils de déchiffrement. Adrien Guinet, un chercheur travaillant pour le compte de la start-up française Quarkslab, a publié un outil qu’il a appelé WannaKey pour effectuer la récupération de clé RSA sur les machines Windows XP qui ont été infectées par le ransomware WannaCry. Précisons que son outil ne cherche pas la clé réelle, mais les nombres premiers en mémoire pour recalculer la clé elle-même. Cet outil supporte Windows 7, XP, Vista et les autres versions de Windows.

Source : Tweet(Costin Raiu)

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Les PC Windows XP infectés par WannaCry pourraient déchiffrer les fichiers sans payer de rançon, un outil est disponible mais il a une portée limitée
WannaCry : un nouvel outil de déchiffrement a été testé et fonctionne de Windows XP à 7, le prérequis de ne pas redémarrer l'ordinateur reste valable
Le ransomware WannaCrypt a rapporté 80 000 dollars à ses auteurs, le collectif Résistance Cyber appelle à revoir le modèle de sécurité en France

[marsupial]

Qui a dit dette technique ?
Dans quelle unité se fait l'évaluation ? Milliards ? Dizaine de milliards ?

[mh-cbon]

> Il faudrait savoir que les utilisateurs de Windows 7 ont reçu un patch de sécurité des mois avant l’attaque

dans ce cas là comment se fait il que l'attaque ai réussit ?

Les utilisateurs de windows 7 ne mettent pas à jour leurs os ? De souvenir y'a des rappels automatique, non ?

Le port SMB ouvert sur le lan OK, mais sur le wan ? wtf

Moi je n'arrive à me figurer comment ils établissent leurs statistiques,
le worm utilise doublepulsar parce qu'il patch la faille SMB, non ?
(pas clair dans ce genre d'analyses https://blog.malwarebytes.com/threat...s-wanacrypt0r/)
Si une entreprise est infectée, elle ne peut pas être scannée de l'extérieur de par les par-feux.
Un particulier lambda, dans 95% des cas, n'ouvre pas les ports SMB.
Donc, je m’interroge, que sont ces stats, de quelles populations parlent t'on, comment sont ils faits etc.

Je lisais quelque part que l'infection après la première nuit s'élevait à 100K machines,
apparemment c'était en février, là on est 60/90 jours plus tard,
https://fr.wikipedia.org/wiki/WannaCry#Contexte

https://en.wikipedia.org/wiki/Windows_7
> over 100 million copies had been sold worldwide, increasing to over 630 million licenses by July 2012, and a market share of 49.42%

100K/630M (a minima) faites vos calculs, c'est peu.

Ce genre d'histoire sera bien plus palpitante et croustillante quand se sera le tour des IOT.

Par ailleurs,
https://en.wikipedia.org/wiki/WannaC...he_cyberattack
> On 12 May 2017 WannaCry began affecting computers worldwide,[48] with evidence pointing to an initial infection in Asia at 7:44am UTC.[8][49] The initial infection was likely through an exposed vulnerable SMB port,[50] rather than email phishing as initially assumed.[8]

donc ? on ne sait pas.

en bref, je m'interroge.

[Aeson]

Les utilisateurs de windows 7 ne mettent pas à jour leurs os ?

Dans le 1000. Si Renault a été impact" c'est uniquement car leur parc n'est pas a jour. Bravo pour l'image

De souvenir y'a des rappels automatique, non ?

Si le PC est mis a jour via WSUS ou SCCM c'est l'admin qui pousse les mises a jour. Le poste client n'a pas access a Windows Update et ne vera donc rien.

Le port SMB ouvert sur le lan OK, mais sur le wan ? wtf

Ca montre clairement l'incompetence....

Ce genre d'histoire sera bien plus palpitante et croustillante quand se sera le tour des IOT.

Ce fut le cas il n'y a pas si longtemp. Resultat => un DDos qui a mit internet down....

[BufferBob]

Le port SMB ouvert sur le lan OK, mais sur le wan ? wtf

je crois qu'il était question d'un stage1 par mail en fait, ce qui explique finalement que le malware ne se propage pas si bien que ça sur internet, mais que dans les entreprises où il se propage il défonce tout l'intranet très rapidement