Le 15 mai 2017

Le vendredi 12 mai, des ordinateurs dans le monde entier ont subi une attaque du ransomware Trojan.Encoder.11432, également connu sous le nom WannaCry, WannaCryptor, WanaCrypt0r, WCrypt, WCRY et WNCRY. Des institutions gouvernementales et commerciales ainsi que des particuliers ont été atteints. Les utilisateurs de logiciels Dr.Web ont été et restent hors de danger.

La première modification du Trojan connue de Dr.Web (Wanna Decryptor 1.0) a été soumise à l'analyse au Labo Doctor Web le 27 mars 2017 à 07:20 et le même jour à 11:51, le programme malveillant a été ajouté à la base de données virales.

Le ransomware Trojan.Encoder.11432, connu sous le nom de WannaCry, a commencé à se propager activement vendredi soir et durant le week-end dernier, il a frappé les ordinateurs de grandes organisations dans le monde entier.

Doctor Web a reçu son échantillon le 12 mai à 10:45 et l'a ajouté aux bases de données virales Dr.Web.

Avant d'être référencé dans la base, le Trojan était détecté par Dr.Web comme BACKDOOR.Trojan.

Le cheval de Troie est un encodeur multi-composants, qui a reçu le nom de Trojan.Encoder.11432. Il comprend quatre composants : un ver réseau, un injecteur (ou dropper, en anglais) de l'encodeur, un encodeur et un décodeur.

Trojan.Encoder.11432 chiffre les fichiers se trouvant sur la machine contaminée et demande une rançon pour le déchiffrement. L’argent doit être transféré en crypto monnaie Bitcoin.

La cause de la propagation massive du Trojan réside dans la vulnérabilité du protocole SMB. Cette vulnérabilité affecte tous les systèmes d’exploitation Windows au-dessous de la version 10. Pour nos utilisateurs, le Trojan.Encoder.11432 ne représentait pas de danger dès le début de sa diffusion.

Pour vous protéger de ce ransomware, nous recommandons ce qui suit :

• Installez la mise à jour de votre système d’exploitation MS17-010 qui est disponible à l’adresse technet.microsoft.com/en-us/library/security/ms17-010.aspx ainsi que toutes les mises à jour de sécurité courantes,
• mettez à jour votre antivirus,
• à l'aide du pare-feu, fermez les ports attaqués (139, 445),
• désactivez le service système vulnérable qui est ciblé par le malware,
• interdisez l'installation et le lancement de nouveaux logiciels (fichiers exécutables),
• retirez les droits des utilisateurs superflus (droits pour exécuter et installer de nouveaux logiciels),
• supprimez les services inutiles dans l'OS,
• interdisez l'accès au réseau Tor.