WannaCry

WannaCry a été actif entre 8h00 UTC et 17h08 UTC le 12 mai 2017. En seulement quelques heures, il a infecté plus de 230 000 ordinateurs dans environ 150 pays.
Le ransomware a touché des entités critiques telles que le National Health Service (NHS) britannique, l’opérateur télécom Telefónica en Espagne, les entreprises d’énergie Iberdrola et Gas Natural ainsi que de nombreuses institutions financières.

WannaCry était un cryptover — c’est-à-dire un ransomware capable de se répliquer automatiquement à travers les réseaux. Il se diffusait sans intervention de l’utilisateur, en scannant les ports SMB ouverts et en attaquant les appareils non corrigés.

14 mars 2017 : Microsoft publie le correctif de sécurité MS17-010, qui corrige la vulnérabilité EternalBlue.

12 mai 2017 : L’attaque massive commence. WannaCry se met à chiffrer les fichiers et à réclamer 300 $ en Bitcoin pour les déverrouiller.

Quelques heures plus tard : Le chercheur en sécurité Marcus Hutchins découvre un domaine non enregistré dans le code du malware. En le faisant enregistrer, il active involontairement un « kill switch » qui stoppe la propagation initiale.

Diffusion des correctifs : Les utilisateurs et organisations mettent à jour leurs systèmes. Microsoft publie même des mises à jour pour des versions obsolètes telles que Windows XP.

Nouvelles variantes : Après la découverte du kill switch, de nouvelles versions de WannaCry apparaissent sans cette fonctionnalité, mais elles n’ont pas atteint la même ampleur que la première.

WannaCry a touché des systèmes médicaux, industriels et d’entreprise, provoquant : l’arrêt de services essentiels, des interruptions de production, et des pertes économiques considérables. On estime que le malware a infecté entre 141 000 et 230 000 ordinateurs dans 150 pays, causant des pertes de plusieurs centaines de millions de dollars.

Parmi les victimes les plus marquantes : les hôpitaux du NHS (environ 70 000 appareils affectés), le constructeur automobile Renault-Nissan, ainsi que de grandes entreprises d’énergie et de télécommunications.

• Capacité d’auto-propagation : la combinaison d’un ransomware et de l’exploit EternalBlue a permis à WannaCry de se propager de manière autonome.
• Correctifs ignorés : la plupart des ordinateurs n’avaient pas encore installé le patch MS17-010.
• Kill switch accidentel : Marcus Hutchins a découvert et activé par hasard le kill switch, ce qui a temporairement stoppé la propagation du malware. Sans lui, les dégâts auraient été encore plus importants.

Voici les bonnes pratiques recommandées par Panda Security :

• Maintenez vos systèmes à jour, en accordant une attention particulière aux correctifs critiques.
• Installez des solutions de sécurité avancées, comme la gamme Panda Dome, qui offre une détection en temps réel, une surveillance des exploits et une protection contre les ransomwares.
• Mettez en place une gestion des vulnérabilités et des sauvegardes fréquentes.
• Activez vos pare-feux et limitez l’accès au port 445 sur vos réseaux.
• Formez vos utilisateurs aux bonnes pratiques de cybersécurité, notamment en matière de mises à jour et de gestion des correctifs.