Le 20 juin 2017

On nous assure depuis longtemps que le Cloud est très fiable et que Linux est préservé des attaques.

Du point de vue des experts, le cas est totalement banal. Un logiciel qui n'était pas à jour, des erreurs dans les configurations etc. Mais en ce qui concerne la rançon, c'est un record, jamais un tel montant n'a été payé aux hackers. De plus, l'attaque ciblant Linux a parfaitement fonctionné.

Qui peut être considéré comme responsable ?

1. Le fournisseur de services, car il n'a pas proposé à ses clients des services de sauvegarde et surtout parce qu’il n'a pas fait le nécessaire pour "sauvegarder" sa propre infrastructure ?
2. Les clients, car ils ne faisaient pas de sauvegardes tout en comptant sur la fiabilité de l'infrastructure du fournisseur ?

Des attaques réussies sur les fournisseurs de services Cloud ont déjà eu lieu mais pas dans une telle envergure.

Il est possible que d’autres incidents de ce type se multiplient.

parce qu’un tel « succès » peut inspirer d’autres pirates. Les attaques visant les FAI peuvent se reproduire et devenir une « tendance » comme celle qui consiste à cibler les systèmes Linux. L’avenir le dira.

Dr.Web recommande

1. Les données stockées dans le Cloud devraient également faire l’objet de sauvegardes supplémentaires.
2. Si vous louez un serveur, un site, un service dans le Cloud, ceci ne vous dispense pas de la nécessité de vous protéger. En plus des copies de sauvegarde, un antivirus est requis au minimum. Dans le Cloud ainsi que sur le PC.

La sécurité de l'infrastructure des fournisseurs de services peut être assurée par les produits Dr. Web Server Security Suite et Dr.Web Gateway Security Suite (contrôle du trafic entrant à la recherche des malwares et pour contrôler l'accès aux ressources web potentiellement dangereuses hébergées sur Internet).

La sécurité des clients des prestataires de services est assurée par les produits faisant partie de la gamme de produits pour la protection des entreprises de toute taille Dr. Web Enterprise Security Suite. Nous devons souligner que la protection antivirus doit être mise en place côté fournisseur ainsi que sur le réseau local de l'entreprise y compris sur les ordinateurs des employés. Cette approche est la seule qui peut protéger contre les attaques de type "homme au milieu".

Le 19 juin 2017

Les analystes de Doctor Web ont détecté un Trojan ciblant Android géré par les pirates à l'aide de l’application Télégram. Le programme malveillant vole des informations confidentielles et exécute les commandes des malfaiteurs.

Le Trojan nommé Android.Spy.377.origin est un utilitaire d’administration à distance (Remote Administration Tool, ou RAT), qui est diffusé sous le couvert d’applications inoffensives et cibles les utilisateurs en Iran. L'utilitaire peut être installé sur les Smartphones et tablettes comme un programme nommé " اینستا پلاس " (" Insta Plus "), " پروفایل چکر " (" Profile Checker ") et " Cleaner Pro".

Lors de son lancement, le cheval de Troie propose au propriétaire de l’appareil mobile de vérifier sa popularité parmi d'autres utilisateurs de Telegram et pour ce faire, lui demande d'installer un identificateur personnel. Dès que la victime saisit une information dans le champ correspondant, Android.Spy.377.origin affiche "le nombre de visiteurs" de son profil. Cependant, aucune vérification n'est effectuée en réalité par le Trojan. Il ne fait que générer un nombre aléatoire à afficher comme le résultat. Cette fonction est conçue donner l’impression qu’il n’est pas dangereux. Quelque temps après son lancement, Android.Spy.377.origin supprime son icône de la liste des applications dans le menu de l’écran d'accueil de l’appareil et tente de masquer sa présence dans le système.

Android.Spy.377.origin est un programme d’espionnage classique capable d’exécuter les commandes des pirates à distance. La différence principale entre cette application malveillante et d'autres Trojans ciblant Android est que les cybercriminels utilisent la messagerie instantanée Telegram pour gérer ce malware. C'est le premier Trojan de ce type connu des analystes de Doctor Web.

Après avoir supprimé l'icône du programme, Android.Spy.377.origin copie les contacts de l’annuaire téléphonique, les messages SMS entrants et sortants, ainsi que des informations sur le compte Google du propriétaire de l'appareil mobile. Ensuite, il enregistre ces données dans des fichiers texte dans son dossier. De plus, le Trojan tente de faire une photo de l'utilisateur avec la caméra frontale de l'appareil. L'espion télécharge la photo prise et les fichiers contenant des informations volées sur son serveur de contrôle et envoie au Bot Telegram des pirates un signal disant que la contamination de l'appareil a fonctionné.

Vous trouverez ci-dessous des exemples de fichiers qu’ Android.Spy.377.origin transmet aux pirates.

Après avoir volé des informations confidentielles, Android.Spy.377.origin se connecte de nouveau au Bot et attend des messages avec des commandes de gestion. Le Trojan peut recevoir les commandes suivantes :

• call - passer un appel téléphonique,
• sendmag - envoyer un SMS ,
• getapps - transmettre au serveur des informations sur les applis installées,
• getfiles -télécharger sur le serveur des informations sur tous les fichiers disponibles sur l'appareil,
• getloc - envoyer au serveur les données de géolocalisation de l'appareil,
• upload - télécharger sur le serveur un fichier particulier stocké sur l'appareil et indiqué dans la commande,
• removeA - supprimer de l'appareil le fichier indiqué dans la commande,
• removeB - supprimer un groupe de fichiers de l'appareil,
• lstmsg - transmettre au serveur un fichier contenant des informations sur tous les SMS envoyés et reçus, y compris les numéros des expéditeurs et destinataires, ainsi que le contenu des messages.

A chaque commande exécutée, le programme malveillant informe le Bot Telegram.

En plus de collecter des données sensibles, Android.Spy.377.origin surveille lui-même tous les SMS entrants et sortants, ainsi que les coordonnées de l’appareil. Lorsque l'utilisateur reçoit ou envoie de nouveaux messages ou qu'il modifie l'emplacement du Smartphone ou de la tablette contaminés, le Trojan transmet les informations correspondantes au Bot Telegram des pirates.

Les spécialistes de Doctor Web avertissent que les auteurs de virus diffusent souvent des applications malveillantes sous le couvert de programmes inoffensifs. Pour se protéger contre les Trojans ciblant Android, il faut installer uniquement des applis provenant de sources de confiance, telles que Google Play, par exemple. Dr.Web pour Android détecte toutes les versions connues de Android.Spy.377.origin, c'est pourquoi cet espion ne représente aucune menace pour nos utilisateurs.

Le 15 juin 2017

Les Trojans miners sont des programmes malveillants utilisant les ressources de la machine contaminée pour l'extraction de crypto-monnaie. Les analystes de Doctor Web ont examiné un tel Trojan capable de contaminer les ordinateurs sous Microsoft Windows.

Trojan.BtcMine.1259 a été conçu pour l’extraction de la crypto-monnaie Monero (XRM) et pour l'installation du backdoor Gh0st RAT. Le miner est téléchargé sur l'ordinateur par le malware Trojan.DownLoader24.64313 qui, à son tour, est propagé à l'aide du backdoor DoublePulsar.

Immédiatement après le démarrage, Trojan.BtcMine.1259 vérifie si sa copie est lancée sur l'ordinateur contaminé. Il détermine ensuite le nombre de cœurs du processeur, puis s’il est supérieur ou égal au nombre de flux indiqué dans sa configuration, il déchiffre et télécharge en mémoire une bibliothèque stockée dans son corps. Cette bibliothèque est une version modifiée du système d’administration distante open source connue sous le nom de Gh0st RAT (l'antivirus Dr.Web la détecte comme BackDoor.Farfli.96). Ensuite, Trojan.BtcMine.1259 enregistre sa copie sur le disque et la lance comme un service système. Si le lancement a fonctionné, le Trojan tente de télécharger sa mise à jour sur son serveur de contrôle, dont l'adresse est indiquée dans son fichier de configuration.

Le module principal destiné à extraire la crypto-monnaie Monero est également conçu comme une bibliothèque, le Trojan contient une version de miner 32-et 64-bit. En fonction de l'OS de l'ordinateur contaminé, une version correspondante est utilisée. Dans la configuration du malware, les informations suivantes sont indiquées pour ce module : le nombre de cœurs et des ressources du processeur à utiliser pour extraire de la crypto-monnaie, l'intervalle avec lequel le miner sera relancé et d'autres paramètres. Le Trojan surveille les processus en cours sur la machine contaminée et en cas de tentative de lancement du Gestionnaire des tâches, il cesse de fonctionner.

Les premiers chevaux de Troie miners ont été détectés il y a plus de 6 ans. Le malware Trojan.BtcMine.1 a été ajouté aux bases de données virales Dr.Web en 2011. Un des signes d’infection par ce programme est un ralentissement du système ou un réchauffement du processeur. Dr.Web Antivirus éradique correctement le Trojan.BtcMine.1259 et tous ses composants, ce programme malveillant ne représente donc pas de danger pour nos utilisateurs.

Plus d'infos sur ce Trojan

Le 13 juin 2017

Doctor Web annonce la mise à jour du module Lua-Updater (11.0.21.06080), du module antirootkit Dr.Web Anti-rootkit API (11.1.11.201706060), du service Dr.Web Control Service (11.0.13.06051 et 11.0.12.06061) et du script de configuration Lua-script for scan-engine (11.0.6.06050) dans un certain nombre de produits Dr.Web. De plus, dans Dr.Web KATANA 1.0, le module katana-service (11.1.7.06051) a été renouvelé. La mise à jour corrige les erreurs détectées, et ajoute un certain nombre de modifications.

Les modifications apportées à Lua-Updater permettent d'optimiser l'interaction avec les serveurs de mises à jour Dr.Web.

Dans le module antirootkit, le problème qui ne permettait pas de s'authentifier dans le profil local de l'utilisateur (il fallait utiliser un profil temporaire pour entrer dans le système) a été éliminé.

La mise à jour sera automatique pour les utilisateurs Dr.Web mais ceux qui utilisent Dr.Web KATANA devront redémarrer leurs ordinateurs.

Le 6 juin 2017

Doctor Web invite les utilisateurs à participer au bêta-test de Dr.Web 11.0 pour les serveurs de messagerie UNIX et de Dr.Web Antivirus pour Linux en version 11.0.3. Les deux produits ont été sensiblement remaniés et équipés de nouvelles fonctionnalités qui simplifient l'interaction avec le système de protection et qui renforcent le niveau de sécurité.

Modifications dans Dr.Web pour serveurs de messagerie Unix :

• l'architecture du produit a été complètement renouvelée, il fonctionne maintenant avec les interfaces standard des serveurs de messagerie (Milter, Spamd, Rspamd), et ne s'intègre plus au serveur;
• une option permettant une intégration transparente du serveur de messagerie et du client directement dans les canaux d'échange de données utilisant les protocoles de messagerie standard SMTP, POP3 et IMAP (ce mode est disponible uniquement pour GNU/Linux) a été ajoutée,
• le contenu indésirable des messages entrants est désormais stocké dans une archive protégée par un mot de passe et non pas dans la quarantaine,
• le produit possède désormais sa propre interface Web de gestion, il n’est donc plus nécessaire d’utiliser Webmin,
• une option permettant d'utiliser les données des catalogues (OpenLDAP, Active Directory) dans les règles d'analyse du trafic est disponible,
• l’envoi de statistiques sur le statut du produit et de notifications sur des événements importants (comme le blocage de messages) via SNMP a été ajouté,
• le module Clamd est disponible pour analyser les messages sur les serveurs ne pouvant pas utiliser Milter/Spamd/Rspamd,
• l'adresse de l'expéditeur/destinataire est vérifiée sur les serveurs des services DNSxL.

Modifications dans Dr.Web Antivirus pour Linux :

• la vérification du courrier entrant via IMAP (S) / POP3(S) a été ajoutée,
• la vérification du courrier entrant via SMTP(S) a été ajoutée,

Nous invitons tous ceux qui le souhaitent à tester les nouvelles fonctionnalités de Dr.Web 11.0 pour serveurs de messagerie UNIX et de Dr.Web Antivirus pour Linux 11.0.3.

Le 5 juin 2017

Les analystes de Doctor Web ont examiné deux programmes malveillants ciblant l'OS Linux. L’un d’eux installe sur le périphérique contaminé une application pour l’extraction de crypto-monnaie, l'autre démarre un serveur proxy.

Le premier Trojan examiné par les spécialistes de Doctor Web a été ajouté aux bases virales Dr.Web sous le nom de Linux.MulDrop.14 . Ce malware attaque exclusivement les mini ordinateurs UMPC Rasberry Pi. La propagation de Linux.MulDrop.14 a commencé dans la deuxième quinzaine de mai 2017. Ce Trojan représente un script dans le corps duquel est stockée une application compressée et chiffrée qui est destinée à extraire de la crypto-monnaie. Linux.MulDrop.14 modifie le mot de passe sur le dispositif contaminé, décompresse et exécute le mineur puis, dans une boucle sans fin, commence à chercher dans l'environnement réseau des hôtes avec le port 22 ouvert. En se connectant avec eux via SSH, le Trojan tente d’y lancer sa propre copie.

L'autre Trojan a reçu le nom Linux ProxyM. . Des attaques utilisant ce Trojan ont été enregistrées depuis le mois de février 2017; mais elles ont atteint un pic dans la deuxième quinzaine de mai. L'évolution de l'intensité des attaques menées par Linux ProxyM. et enregistrée par les analystes de Doctor Web est présentée dans l'illustration ci-dessous.

Une partie importante des adresses IP d'où les attaques sont lancées se trouve sur le territoire de la Russie. Viennent ensuite la Chine et Taïwan. Le graphique suivant montre depuis quels pays Linux.ProxyM a lancé des attaques :

Le Trojan utilise un jeu de méthodes spécialisé pour détecter les honeypots (« pot de miel »). Après son lancement, il se connecte au serveur et après avoir reçu une confirmation, démarre sur le dispositif contaminé un serveur proxy SOCKS. Les attaquants peuvent l'utiliser pour assurer leur anonymat sur Internet.

Dr.Web pour Linux détecte les deux Trojans, ils ne représentent donc pas de danger pour nos utilisateurs.

• Plus d’infos sur Linux.MulDrop.14
• Plus d’infos sur Linux.ProxyM

Le 2 juin Doctor Web annonce une mise à jour du module d'auto-protection Dr.Web SelfPROtect (11.01.10.06010) dans les produits Dr.Web Security Space 11.0, Dr.Web Antivirus 11.0, Dr.Web Antivirus 11.0 pour serveurs de fichiers Windows, Dr.Web Enterprise Security Suite 10.0, Dr.Web AV-Desk 10.0, Dr.Web KATANA 1.0 et Dr.Web CureNet!. La mise à jour corrige une erreur.

La cause de l'apparition éventuelle d’une erreur système critique (BSOD) a été éliminée.

La mise à jour sera automatique mais requiert le redémarrage de l'ordinateur.

Le 31 mai 2017

Doctor Web annonce la mise à jour du module anti-rootkit Dr.Web Anti-rootkit API (11.1.11.201705260), du module d'auto-protection Dr.Web SelfPROtect (11.01.08.05180) et des scripts de configuration dans un certain nombre de produits Dr. Web. La mise à jour apporte de nouvelles fonctionnalités et modifications.

Dans le module anti-rootkit au sein de tous les produits mentionnés et dans le module d’auto-protection au sein de Dr.Web Antivirus, Dr.Web Security Space Dr.Web Enterprise Security Suite, Dr.Web AV-Desk, Dr.Web KATANA et Dr.Web CureNet !, les algorithmes de détection de menaces, dont les menaces toutes récentes, ont été améliorés.

La mise à jour sera automatique pour les utilisateurs Dr.Web mais requiert le redémarrage de l'ordinateur.

le 1 juin 2017

Doctor Web annonce la mise à jour du côté serveur de l'ensemble de logiciels Dr.Web Enterprise Security Suite 10.1 (201705110), de Dr.Web Enterprise Proxy (201705110), de Dr.Web Enterprise Agent for Windows (11.0.1.05150) et de Dr.Web Enterprise Agent for Windows supporting Active Directory (11.00.05180). La mise à jour apporte de nouvelles fonctionnalités et corrige les erreurs détectées. De plus, la documentation a également été actualisée.

Les modifications apportées au côté serveur du logiciel :

• une option permettant la mise à jour automatique des fichiers clés de licence a été ajoutée,
• dans le Centre de gestion Dr.Web, les configurations de la Protection préventive et de l'agent ont été séparées,
• Des paramètres de tri des postes protégés dans l'arborescence du réseau antivirus ont été ajoutés,
• Il est désormais possible d'exporter partiellement l'arborescence du réseau antivirus,
• l'erreur provoquant une chute des performances du serveur lors de la distribution des mises à jour à un grand nombre d'agents a été corrigée,
• l'erreur pouvant, dans certains cas, provoquer des problèmes liés à l'approbation de nouveaux postes sur le serveur a été corrigée,
• le problème qui causait une erreur lors du téléchargement ou déchargement de fichiers ayant une grande taille via les sections "Contenu du dépôts des produits" et "Quarantaine" dans le Centre de gestion Dr.Web a été éliminée,
• l'erreur survenant lors du calcul du nombre de postes dans le réseau antivirus sur la demande via Web API, en particulier, pendant la transmission de données au Centre de gestion Dr.Web a été corrigée.

Modifications dans Dr.Web Enterprise Proxy :

• l'erreur qui empêchait l'agent sans ID d'être installé en cas de charge importante sur Dr.Web Enterprise Proxy a été corrigée,
• la consommation de la mémoire vive au démarrage a été minimisée,
• le problème qui rendait impossible la connexion des agents en version 6 via le serveur proxy a été éliminée.

Modifications dans les composants de l'agent :

• L’agent est désormais compatible avec la mise à jour de Windows 10 C Creators Update,
• les composants ont été mis à jour vers la version actuelle.

La mise à jour est disponible via l'interface Web du Centre de Gestion où elle sera affichée comme la mise à jour du 11/05/2017. Les packages d'installation actualisés sont disponibles sur le site de Doctor Web.

Le 31 mai 2017

Doctor Web présente son Rapport viral sur les menaces ayant ciblé les appareils mobiles au cours du mois de mai 2017. Un Trojan posté sur Google Play, un Trojan publicitaire capable de télécharger et de lancer des composants supplémentaires et un Trojan bancaire sont les principales tendances du mois.

Le 31 mai 2017

L'événement le plus important du moi de mai 2017 est la propagation massive du malware WannaCry détectés par l'antivirus Dr.Web Antivirus comme Trojan.Encoder.11432. Ce ver se propageait lui-même, il contaminait des hôtes réseau en utilisant une vulnérabilité du protocole SMB. Puius il chiffrait les fichiers sur l'ordinateur de la victime et exigeait une rançon pour leur déchiffrement. De plus, au mois de mai, les experts de Doctor Web ont examiné un Trojan multi-composants ciblant Linux et écrit en langage Lua. Un nouveau backdoor menaçant aux utilisateurs de mac OS a également été détecté.

Menace du mois

De nombreaux médias ont parlé du programme malveillant connu sous le nom de WannaCry. Cette application dangereuse est un ver réseau capable de contaminer les ordinateurs tournant sous Windows. La propagation de ce malware a commencé vers 10 heures, le 12 mai 2017. En tant que charge "utile", le ver contient un ransomware de chiffrement. L'antivirus Dr.Web détecte tous les composants du ver comme Trojan.Encoder.11432.

A son lancement, le ver s'enregistre comme un service système et commence à interroger les noeuds du réseau local et sur Internet selon la liste d'adresses IP aléatoires. Si la connexion est établie, le ver tente de contaminer les ordinateurs. Si la contamination réussit, le ver lance le Trojan qui chiffre les fichiers se trouvant sur l'ordinateur en appliquant une clé aléatoire. Trojan.Encoder.11432 supprime les Shadow copy et désactive la fonction de restauration du système. Le Trojan crée une liste des fichiers qui sont chiffrés avec une autre clé : le programme malveillant peut déchiffrer ses fichiers gratuitement. Puisque ces fichiers de test et tous les autres fichiers sur l'ordinateur contaminé sont chiffrés à l’aide de clés différentes, il n’y a aucune garantie de déchiffrement des fichiers même si la victime paie une rançon aux pirates. Vous trouverez plus d’information sur ce Trojan dans l'article que nous avons publié ainsi que dans une description technique détaillée du ver .

Selon les statistiques de Dr.Web Antivirus

• Trojan.InstallCore
  Représentant de la famille des programmes-installateurs d'applications indésirables et malveillantes.
• Trojan.DownLoader
  Famille de Trojans conçus pour télécharger d'autres logiciels malveillants sur l'ordinateur infecté.
• Trojan.Encoder.11432
  Ver réseau qui lance sur l'ordinateur de sa victime un ransomware dangereux. Il est également connu sous le nom de WannaCry.
• Trojan.LoadMoney
  Famille de logiciels « downloader » générés sur les serveurs du programme partenaire LoadMoney. Ces programmes téléchargent et installent des différents logiciels indésirables sur l'ordinateur de la victime.
• Trojan.Moneyinst.133
  Programme malveillant qui installe sur l'ordinateur de sa victime différents logiciels, y compris d'autres chevaux de Troie.

Données des serveurs de statistiques de Doctor Web.

• JS.DownLoader
  Famille de scripts malveillants écrits en JavaScript. Ils téléchargent et installent sur l'ordinateur d’autres logiciels malveillants.
• Trojan.InstallCore
  Représentant de la famille des programmes-installateurs d'applications indésirables et malveillantes.
• Trojan.DownLoader
  Famille de Trojans conçus pour télécharger d'autres logiciels malveillants sur l'ordinateur infecté.
• Trojan.Moneyinst.151
  Programme malveillant qui installe sur l'ordinateur de sa victime différents logiciels, y compris d'autres chevaux de Troie.
• Trojan.PWS.Stealer
  Famille de Trojans conçus pour voler des mots de passe et d'autres données confidentielles.

Logiciels malveillants détectés dans le trafic email

• JS.DownLoader
  Famille de scripts malveillants écrits en JavaScript. Ils téléchargent et installent sur l'ordinateur d’autres logiciels malveillants.
• W97M.DownLoader
  Famille des Trojans Downloaders qui exploitent les vulnérabilités des applications Office. Ils sont conçus pour télécharger sur l'ordinateur infecté d'autres logiciels malveillants.
• Trojan.PWS.Stealer
  Famille de Trojans conçus pour voler des mots de passe et d'autres données confidentielles.

D’après les données du bot Dr.Web pour Telegram

• Trojan.Encoder.11432
  Ver réseau qui lance sur l'ordinateur de sa victime un ransomware dangereux. Il est également connu sous le nom de WannaCry.
• Android.Locker.139.origin
  Représentant de la famille des Trojans ciblant Android et conçus pour extorquer de l’argent. Ce malware affiche un message indiquant à l’utilisateur qu’il a enfreint la loi et que son appareil mobile est bloqué. Pour débloquer l'appareil, les malwares demandent une rançon.
• Android.HiddenAds.24
  Trojan conçu pour afficher des publicités.
• Android.Androrat.1.origin
  Spyware ciblant les appareils sous Android.
• BackDoor.Bifrost.29284
  Représentant de la famille des Trojans backdoors, capables d'exécuter sur la machine contaminée les commandes reçues des pirates.

Au mois de mai, le Support technique de Doctor Web a reçu de nombreuses requêtes d’utilisateurs touchés par les modifications suivantes des Trojans Encoders :

• Trojan.Encoder.858 — 14.39% des demandes;
• Trojan.Encoder.11432 — 8.36% des demandes;
• Trojan.Encoder.3953 — 7.41% des demandes;
• Trojan.Encoder.761 — 2.62% des demandes;
• Trojan.Encoder.10144 — 2.60% des demandes;
• Trojan.Encoder.567 — 2.47% des demandes.

Dr.Web Security Space 11.0 pour Windows
protège contre les ransomwares (Trojans Encoders)

Cette fonctionnalité n’est pas disponible dans Dr.Web Antivirus pour Windows.

Prévention de la perte de données

Plus d'info

En mai 2017, la base de sites non recommandés par Dr.Web s’est enrichie de 1 129 277 adresses Internet.

Sites non recommandés

Autres événements dans le domaine de la sécurité

Au début du mois de mai, un Trojan propagé via des liens dans les commentaires laissés pas les malfaiteurs dans le groupe officiel de Doctor Web dans le réseau social VKontakte a été détecté. Dans leurs messages, les cybercriminels proposaient à tous ceux qui le souhaitaient de télécharger des clés gratuites pour l'antivirus Dr.Web, mais lorsque des utilisateurs visitaient les liens proposés, le Trojan Trojan.MulDrop7.26387 était téléchargé sur leurs ordinateurs.

Ce programme malveillant est capable d'exécuter les commandes suivantes : par exemple, il est capable de changer le fond d'écran de votre bureau Windows, d'ouvrir ou fermez le tiroir du lecteur optique, d'échanger les fonctions des boutons de la souris, de reproduire une phrase configurée via des haut-parleurs, en utilisant un synthétiseur vocal, ou même d'afficher à l'écran des vidéos effrayantes. Pour en savoir plus sur cet incident, consultez l'article publié sur notre site.

Menaces ciblant Linux

u mois de mai, les analystes de Doctor Web ont examiné un Trojan multi-composants ciblant Linux et écrit en langage Lua. Ce programme malveillant qui a reçu le nom Linux.LuaBot représente un ensemble de 31 scripts Lua et peut infecter non seulement des ordinateurs, mais également des dispositifs "intelligents": les routeurs, stockages réseau, décodeurs TV, caméras IP etc. Le Trojan génère une liste d’adresses IP qu'il va attaquer puis tente de se connecter à des périphériques distants selon la liste générée et de s'authentifier en utilisant la méthode de force brute. En cas de succès, il télécharge sur le périphérique infecté sa propre copie et la lance.

Ce Trojan est en fait un backdoor, car il est capable d'exécuter les commandes reçues des pirates. De plus, il lance sur le dispositifs contaminé un serveur Web permettant aux malfaiteurs de télécharger des fichiers divers. Les analystes de Doctor Web ont récolté des statistiques sur les adresses IP uniques des périphériques contaminés par Linux.LuaBot qui sont présentés sur l'illusatration suivante.

Pour plus d'informations sur ce Trojan multi-composants, consultez notre news ou la Description détaillée technique du logiciel malveillant .

Menaces ciblant Mac OS

Le dernier mois du printemps 2017 a été marquée par la propagation d'un backdoor ciblant MacOS. Ce Trojan a été ajouté aux bases de données virales Dr.Web sous le nom Mac.BackDoor.Systemd.1. Le backdoor peut exécuter les commandes suivantes :

• obtenir une liste des fichiers se trouvant dans un dossier indiqué,
• lire un fichier,
• écrire dans un fichier,
• obtenir le contenu d'un fichier,
• supprimer un fichier ou un dossier,
• renommer un fichier ou un dossier
• modifier les droits pour un fichier ou un dossier (commande chmod),
• modifier le propriétaire d'un objet fichier (commande chown),
• créer un dossier
• exécuter une commande dans le shell bash,
• mettre à jour le Trojan,
• réinstaller le Trojan,
• modifier l'adresse IP du serveur de gestion,
• installer un plug-in

Pour plus d'information sur cette menace, consutez l'article publié sur notre site.

Logiciels malveillants et indésirables ciblant les appareils mobiles.

Au mois de mai, sur Google Play, le Trojan Android.RemoteCode.28 a été détecté, il téléchargeait d'autres programmes et transmettait vers le serveur de gestion des informations confidentielles. De plus, sur Google Play, on a détecté des applications dans lesquelles le Trojan Android.Spy.308.origin .a été dissimulé. Ce malware téléchargeait et lançait des modules de programme et affichait des publicités. Au cours du mois dernier, les auteurs de virus ont diffusé sous la forme de messages MMS le Trojan bancaire Android.BankBot.186.origin, qui volait de l'argent des comptes d'utilisateurs.

Les événements les plus importants du mois de mai relatifs à la sécurité des mobiles sont les suivants :

• la détection de Trojans ciblant Android sur Google Play
• la propagation du Trojan bancaire qui transférait de l'argent des utilisateurs sur les comptes des pirates de manière invisible.

Pour en savoir plus sur la situation virale et les menaces ciblant les appareils mobiles, consultez notre aperçu.

En savoir plus avec Dr.Web

Statistiques virales Bibliothèque de descriptions virales Tous les rapports viraux

Le 31 mai 2017

Doctor Web présente son Rapport viral pour le mois de mai 2017. Ce mois est marqué par la propagation massive du ver-ransomware WannaCry. Également en mai, un backdoor ciblant macOS a été détecté et un Trojan multi-composants ciblant Linux a été examiné.

Le 31 mai 2017

Doctor Web présente son aperçu des menaces ayant ciblé les Smartphones et tablettes sous Android. Au cours du mois écoulé, plusieurs nouveaux Trojans ciblant Android ont été détectés sur Google Play. Un Trojan bancaire, un malware qui téléchargeait des applications sur Internet et volait des informations confidentielles. Et un autre qui pouvait télécharger et exécuter des modules supplémentaires et affichait des publicités.

Menace " mobile "du mois

Au début du mois de mai, le Trojan Android.RemoteCode.28 , intégré à une application de lecteur de radio, a été détecté sur Google Play. Il téléchargerait des programmes sur Internet et transmettait des informations sur l'appareil contaminé et les logiciels installés au serveur de gestion.

Caractéristiques de Android.RemoteCode.28:

• les principales fonctionnalités malveillantes du Trojan sont réunies dans un module supplémentaire qui est chiffré.
• Android.RemoteCode.28 commence à fonctionner 8 heures après son lancement,
• le Trojan vérifie la présence de l’émulateur et des outils de débogage, et cesse de fonctionner s’il les détecte.

Selon les données fournies par les produits antivirus Dr.Web pour Android

• Android.HiddenAds.83.origin
• Android.HiddenAds.76.origin
• Android.HiddenAds.68.origin

Trojans conçus pour afficher des publicités. Ils sont propagés sous couvert d’applications populaires par d'autres programmes malveillants, qui, dans certains cas, les installent dans le répertoire système à l'insu de l'utilisateur.

• Android.Sprovider.9

Trojan conçu pour afficher des publicités dans la barre de notifications Android, ainsi que pour télécharger et lancer d'autres applications y compris malveillantes.

• Android.Triada.264.origin

Représentant des Trojans multi-fonctions qui exécutent une variété d'actions malveillantes.

• Adware.Jiubang.1
• Adware.Batmobi.2.origin
• Adware.Leadbolt.12.origin
• Adware.Airpush.31.origin
• Adware.Appsad.1

Modules de programmes indésirables intégrés à des applications Android et conçus pour afficher des publicités sur les appareils mobiles.

Trojan sur Google Play

Au milieu du mois dernier, sur Google Play, des applications avec le Trojan Android.Spy.308.origin embarqué ont été détectées. Elles ont été diffusées par le développeur Sumifi Dev. Ce n’est pas le premier cas, lorsque un malware pénètre dans le catalogue officiel de logiciels pour Android. Doctor Web a signalé un de tels incidents au mois de juiilet 2016. Après la détection de Android.Spy.308.origin,le développeur a mis à jour les applications contaminées en supprimant le Trojan et elles ne présentent donc plus aucun danger.

Android.Spy.308.origin affiche des publicités intempestives et il télécharge de manière invisible des modules supplémentaires et en lance. De plus, le Trojan vole des informations confidentielles et les transmet au serveur de gestion.

Trojans bancaires.

Au mois de mai, sous le couvert de messages MMS, les cybercriminels ont diffusé le Trojan bancaire Android.BankBot.186.origin . Les utilisateurs recevaient des SMS contenant un lien redirigeant vers un site frauduleux. Depuis ce site, un fichier apk de l'application malveillante était chargé sur l'appareil mobile

Android.BankBot.186.origin demande un accès aux fonctions administrateur de l'appareil mobile, afin de compliquer sa suppression. A part cela, il tente de se substituer à l’application standard traitant les SMS. Cela est nécessaire pour contourner le système de sécurité des nouvelles versions de l’OS Android et pour pouvoir envoyer et intercepter des messages. Puis le Trojan vérifie le solde des comptes bancaires accessibles et transfère de l'argent aux cybercriminels de manière discrète.

Les programmes malveillants ciblant les appareils mobiles Android représentent toujours un danger. Les Trojans peuvent être propagés en utilisant des sites frauduleux, ainsi que via le catalogue officiel de Google Play. Pour protéger leurs Smartphones et tablettes contre les programmes dangereux et indésirables, les utilisateurs peuvent installer les produits antivirus Dr.Web pour Android.

Le 25 mai 2017

Les programmes malveillants ciblant les OS de la famille Linux sont moins répandus que les Trojans ciblant Windows. Cependant, ils représentent une menace sérieuse pour les utilisateurs. Les analystes de Doctor Web ont examiné un Trojan multi-composants capable de contaminer les appareils ayant diverses architectures matérielles et tournant sous Linux.

Les premières attaques menées à l’aide du Trojan de la famille Linux.LuaBot. ont été enregistrées par les spécialistes de Doctor Web en décembre 2016. Tous les malwares de cette catégorie ont été écrits en langage de script Lua. Le Trojan évolue constamment depuis le mois de décembre 2016 et de nouvelles versions apparaissent régulièrement. Linux.LuaBot. représente un ensemble de 31 scripts Lua et de deux modules supplémentaires exerçant chacun leur propre fonction. Le Trojan est capable de contaminer les appareils ayant les architectures Intel x 86 (et Intel x86_64), MIPS, MIPSEL, Power PC, ARM, SH4, SPARC, M68k. Il peut donc toucher également une large gamme de routeurs, consoles TV, stockages réseau, caméras IP et autres périphériques " intelligents ". Les spécialistes de Doctor Web n'ont pas pu détecter « in the wild » des builds du Trojan ciblant l'architecture SPARC : Le composant du Trojan qui contamine les périphériques sait déterminer l'architecture, mais des modules ciblant cette architecture n'ont pas été trouvés.

Tous les scripts au sein de Linux.LuaBot sont reliés. Le Trojan génère une liste d’adresses IP qu'il va attaquer puis tente de se connecter à des périphériques distants selon la liste générée et de s'authentifier en utilisant la méthode de force brute. Les scripts utilisés pour le piratage des hôtes réseau savent déterminer l'architecture de l'appareil attaqué et contiennent également un mécanisme spécialisé permettant de détecter les honeypot, les serveurs utilisés comme appâts pour attirer les cybercriminels. À l’aide des " honeypot ", les analystes en sécurité informatique examinent les méthodes des attaques et les outils des pirates. Les attaques sont effectuées via le protocole Telnet ainsi que via SSH, des scripts Lua spécifiques sont responsables de chacun de ces protocoles. Une fois l'accès au périphérique obtenu, le script malveillant y installe le Trojan Linux.LuaBot avec architecture correspondante. Au cours de l'attaque via Telnet, un petit module est téléchargé sur l’hôte compromis, puis il se lance et à son tour, télécharge le Trojan. Si une attaque est réalisée via SSH, le Trojan est téléchargé immédiatement.

Un des modules de Linux.LuaBot représente un serveur Web fonctionnant via HTTP. Le serveur peut enregistrer et lancer des applications sur l'appareil infecté, il est capable de transmettre un fichier depuis son dossier ou bien de communiquer des informations sur la version du Trojan. Il est à noter que les pirates ont retiré la fonction de transmission d'informations sur l'appareil contaminé de la version de Linux.LuaBot apparue au mois de mai 2017.

Linux.LuaBot communique avec le serveur de contrôle via le protocole HTTP, toutes les informations transmises sont chiffrées. Pour rechercher de nouveaux fichiers de configuration et des modules, un réseau P2P basé sur le protocole Bittorrent DHT est utilisé, le même protocole est utilisé dans les réseaux torrent ordinaires. Un autre script est responsable de cette recherche. L'authenticité des messages reçus et envoyés est vérifiée avec une signature numérique. Si le réseau P2P n’est pas disponible, un script effectue une mise à jour de Linux. LuaBot à l’aide d’autres hôtes infectés, en téléchargeant ses fichiers sur les appareils infectés sur demande. Ce script n’est présent que dans les premières versions du Trojan.

Le danger pour les utilisateurs Linux est qu’il fonctionne comme une backdoor et peut effectuer les actions souhaitées par les pirates sur commande. De plus, les versions antérieures de ce malware lançaient sur les appareils compromis un serveur proxy utilisé par les pirates pour rendre leurs actions sur Internet anonymes.

Les analystes de Doctor Web ont récolté des statistiques sur les adresses IP uniques des périphériques contaminés par Linux.LuaBot . La répartition géographique de ces adresses est présentée dans l'illustration ci-dessous :

Les spécialistes de Doctor Web connaissent plusieurs modifications de Linux.LuaBot qui se différencient par leurs caractéristiques et leurs particularités architecturales. L'antivirus Dr.Web détecte tous les exemplaires existants de Linux.LuaBot .

Plus d'infos sur ce Trojan

le 24 mai 2017

Doctor Web annonce la mise à jour de Dr.Web Security Space pour Android vers la version 11.1.2. La mise à jour corrige les erreurs détectées, et ajoute quelques modifications à l'interface du logiciel.

Modifications :

• Une erreur liée au fonctionnement du filtre d'URL dans le navigateur " Yandex Browser " sur les appareils tournant sous Android en version au-dessous de 5.x a été corrigée,
• la cause de l'arrêt inopiné de l'application sur certains appareils a été éliminée,
• l'interface du logiciel pour les appareils fonctionnant sous Android en version au-dessous de 5.x a été améliorée.

Le produit actualisé est disponible en téléchargement sur Google Play (Dr.Web Security Space, Dr.Web Security Space Life ainsi que sur le site de Doctor Web.

Pour les utilisateurs de Dr.Web, la mise à jour sera automatique. Si les mises à jour automatiques sont désactivées sur votre appareil, vous devez aller sur Google Play et choisir dans la liste d'applications Dr.Web Security Space ou Dr.Web Security Space Life ) et cliquer sur " Mise à jour ".

Pour effectuer la mise à jour via le site de Doctor Web, téléchargez un nouveau package d'installation. Si l'option " Nouvelle version " est activée, l'utilisateur recevra une notification lors de la mise à jour des bases virales. La nouvelle version peut être téléchargée immédiatement via le dialogue.

Notes pour Dr.Web Security Space pour Android en version 11.1.2

Le 23 mai 2017

Doctor Web annonce la mise à jour de l'outil gratuit de restauration et de traitement des PC - Dr.Web LiveDisk 9.0. La mise à jour corrige les erreurs détectées.

La mise à jour élimine la cause de l'arrêt inopiné de la version USB de l'utilitaire qui survenait sur les ordinateurs avec les processeurs sans prise en charge des instructions SSE2.

L'erreur pouvant empêcher l'enregistrement de Dr.Web LiveDisk sur un support amovible a également été éliminée.

Télécharger Dr.Web LiveDisk

Le 18 mai 2017

Doctor Web met à jour le module Dr.Web Anti-rootkit API (11.1.10.201705100), les scripts Lua for main (1.0.0.03300) et for av-service (1.0.0.03310), le module Thunderstone Cloud Client SDK (11.0.2.04270) au sein de Dr.Web KATANA 1.0, ainsi que le module Dr.Web KATANA BE setup (1.0.2.05120) dans Dr.Web KATANA 1.0 Business Edition. La mise à jour apporte des modifications internes.

La mise à jour améliore la qualité de la détection et du traitement des menaces.

La mise à jour de Dr.Web KATANA sera automatique mais requiert le redémarrage des ordinateurs protégés. La mise à jour de Dr.Web KATANA Business Edition requiert le redémarrage du module de gestion.

Le 18 mai 2017

Doctor Web met à jour le service Dr.Web Scanning Engine (11.1.10.201704260), le service Dr.Web Dr.Web Control Service (11.0.13.04281), le module Dr.Web Thunderstorm Cloud Client SDK (11.0.2.04270) et le script de configuration Lua-script for anstispam (11.0.5.11080) dans un certain nombre de produits Dr.Web. La mise à jour apporte de nouvelles modifications et corrige les erreurs détectées.

Dans le service de gestion pour les produits Dr.Web Security Space 11.0, Dr.Web Antivirus 11.0 et Dr.Web Antivirus 11.0 pour les serveurs de fichiers Windows, l'erreur indiquant une licence comme arrivée à expiration alors que la durée de validité n’était pas terminée a été éliminée.

Lua-script a été modifié pour assurer la terminaison correcte du processus dwantispam.exe après la désinstallation du module antispam. Cette modification a été également apportée dans Dr.Web Security Space 11.0, Dr.Web Enterprise Security Suite 10.0 et dans Dr.Web AV-Desk 10.0

La mise à jour sera automatique mais requiert le redémarrage de l'ordinateur.

Le 17 mai 2017

Doctor Web, éditeur russe des solutions antivirus Dr.Web, annonce la mise en place du service Dr.Web AV-Desk pas la société Selectron-IT (Pays-Bas).

L’implantation géographique de Dr.Web s’élargit chaque année. Au mois de mai, la petite araignée verte Dr.Web voyage jusqu’aux Pays-Bas : La société Selectron-IT a ajouté à ses offres l'abonnement au service Dr.Web Antivirus (Dr.Web AV-Desk).

Les clients de Selectron-IT peuvent désormais s'abonner à l’antivirus Dr.Web.

«Les spécialistes du support technique Dr.Web nous ont beaucoup aidé lors du déploiement du service, explique le responsable de la société Selectron-IT, Erol Saydam. Il s’agit d’un excellent produit : les dernières technologies antivirus à un prix abordable ; le support technique à la clientèle 24/7, même pendant la nuit ; la protection contre les technologies rootkit et les ransomwares ; le service de déchiffrement gratuit des fichiers endommagés par des ransomwares pour les abonnés à la formule Dr.Web Premium — tout cela nous permet de proposer à nos clients une protection antivirus d’une qualité sans précédents. Les petites et moyennes entreprises sont intéressés par l'antivirus Dr.Web fourni sous forme d'abonnement».

A propos de la société Selectron-IT

La société Selectron-IT fournit des solutions et services dans le domaine des technologies informatiques aux entreprises et aux particuliers depuis plus de 25 ans. Selectron-IT offre un ensemble complet de services informatique et de communication dont la fourniture de logiciels, des services Cloud privés et des sauvegardes de données. La société est spécialisée en gestion de serveurs et postes de travail, elle gère également des réseaux, assure la sécurité informatique et fournit un support technique et consultatif.

www.selectron-it.nl

Le service Internet Dr.Web AV-Desk.

Le service Internet Dr.Web AV-Desk a été créé par Doctor Web en 2007. Dr.Web AV-Desk est déployé par plus de 350 fournisseurs d'accès en Russie, France, Pays-Bas, Espagne, Ukraine, Estonie, Lituanie, au Kazakhstan et dans d'autres pays.

www.av-desk.com

Le 17 mai 2017

Le vendredi 12 mai, de très nombreux ordinateurs dans le monde entier ont été contaminés par un dangereux ver connu sous le nom de WannaCry. Les experts de Doctor Web sont en cours d’analyse du malware mais peuvent d’ores et déjà partager quelques éléments de leurs recherches.

Le programme malveillant, connu sous le nom de WannaCry, est un ver de réseau capable d'infecter les ordinateurs fonctionnant sous Microsoft Windows sans intervention de l'utilisateur. Dr.Web Antivirus détecte tous les composants du ver sous le nom Trojan.Encoder.11432 . La propagation de ce malware a commencé vers 10 heures, le 12 mai 2017. Le Trojan attaque tous les ordinateurs réunis en réseau local ainsi que les hôtes distants à l’aide d’adresses IP aléatoires tout en essayant d'établir une connexion via le port 445. Après s'être installé sur l'ordinateur contaminé, le ver essaie automatiquement d'infecter d'autres machines disponibles, ce qui explique l'envergure de l'épidémie. Le programme malveillant lui-même a plusieurs composants, dont le ransomware à chiffrement.

Ver réseau

Immédiatement après son lancement, le ver tente d'envoyer une requête à un serveur distant, dont le domaine est stocké dans le cheval de Troie. Si la réponse à cette demande est reçue, le ver cesse de fonctionner. Certains médias ont rapporté que l'épidémie WannaCry a été arrêtée grâce à l'enregistrement de ce domaine : on suppose qu'au début de la propagation du Trojan, ce domaine restait libre à cause d'une erreur des pirates. En fait, l'analyse du cheval de Troie montre qu'il va fonctionner et se propager sur les ordinateurs qui ont accès au réseau local, mais qui ne disposent pas d'une connexion Internet. Par conséquent, il serait prématuré de parler de la fin d'épidémie.

Une fois lancé, le Trojan s'enregistre dans le système en tant que service système nommé mssecsvc2.0. Le ver est sensible aux paramètres de la ligne de commande : si un argument est indiqué, le ver tente de configurer le redémarrage automatique du service en cas d’arrêt inopiné. 24 heures après son lancement en tant que service système, le ver s’arrête automatiquement.

Une fois démarré sur une machine contaminée, le ver commence à interroger les hôtes disponibles dans le réseau local où se trouve la machine, et recherche également des ordinateurs sur Internet à l’aide d’adresses IP aléatoires. Il tente de se connecter au port 445. S'il arrive à établir une connexion, le ver tente d'infecter les ordinateurs en utilisant une vulnérabilité du protocole SMB.

Injecteur (Dropper)

Le dropper est un composant conçu pour installer, dans le système d'exploitation, un fichier exécutable malveillant. L'injecteur du ver WannaCry contient une grande archive ZIP protégée par un mot de passe qui contient un fichier crypté avec le Trojan Encodeur, des fonds d’écran Windows affichant les exigences des attaquants, le fichier avec les adresses des serveurs onion et le nom du portefeuille pour recevoir des Bitcoins, ainsi qu'une archive avec des programmes destinés à fonctionner dans le réseau Tor. L'injecteur démarre depuis le corps du ver et s'installe dans l'OS, puis il tente de lancer sa copie sous couvert d'un service système ayant un nom aléatoire. Si cela échoue, il fonctionne comme un programme standard. La tâche principale de l'injecteur est d'enregistrer sur le disque le contenu de l'archive, et de déchiffrer et exécuter le codeur.

Trojan Encodeur

Le ransomawre Trojan.Encoder.11432 chiffre les fichiers avec une clé aléatoire. Le fichier contient des informations sur la longueur de la clé chiffré, la clé elle-même, des informations sur le type de chiffrement et sur la taille du fichier d'origine. Lors du processus de chiffrement, le fichier f.wnry est créé, ce fichier contient à son tour une liste de fichiers que le cheval de Troie peut déchiffrer dans un mode de test.

Le cheval de Troie contient son propre décodeur qui supprime les Shadow copy sur l'ordinateur contaminé et qui désactive la fonction de restauration du système. Il change le fond d'écran du bureau Windows pour afficher le message suivant :

Puis il décompresse les applications destinées à fonctionner dans le réseau Tor (ou bien il les télécharge sur le réseau) et se connecte aux serveurs onion dont les adresses sont indiquées dans la configuration du Trojan. Depuis ces serveurs, il obtient le nom du portefeuille Bitcoin et l'enregistre dans la configuration. Pour échanger des données avec les serveurs onion, Trojan.Encoder.11432 utilise son propre protocole.

Le décodeur permet de déchiffrer quelques fichiers de test, dont une liste est stockée dans le fichier f.wnry. La clé privée nécessaire pour leur déchiffrement est stockée dans l'un des composants du logiciel malveillant. Par conséquent, ils peuvent être déchiffrés même sans l'utilisation du Trojan. Cependant, le déchiffrement des fichiers de test et d'autres fichiers se fait à l'aide de clés différentes. Par conséquent, aucune garantie de récupération réussie des données endommagées par ce ransomware, même si la victime effectue le paiement, ne peut exister.

Malheureusement, à l'heure actuelle, le déchiffrement des fichiers touchés par Trojan.Encoder.11432 est impossible.

Les signes d'infection

Les signes de contamination par le ver WannaCry sont :

• la présence du service système "mssecsvc2.0" (dont le nom visible est "Microsoft Security Center (2.0) Service");
• la présence du fichier du Trojan-Encoder C: \ WINDOWS \ tasksche.exe, l'instance précédente du logiciel malveillant est stocké dans le fichier C: \ WINDOWS \ qeriuwjhrf.

Comment faire en cas de contamination ?

• Afin d'éviter la propagation de l'infection, il faut isoler les machines infectées et les PC avec des données précieuses des réseaux informatiques ;
• Enregistrer une copie de sauvegarde des informations sur des supports à maintenir déconnectés de tout ordinateur.

Pour consulter une description technique du ver, visitez le lien .

Le 15 mai 2017

Doctor Web annonce la sortie de la 10ème version de l'antivirus gratuit - Dr.Web Light pour Android. L’application a été considérablement améliorée, notamment l’interface, ainsi que les fonctionnalités. Android en version 7.1. est désormais supporté.

L'interface de Dr.Web Light pour Android a connu un certain nombre de modifications améliorant son ergonomie. Une fenêtre commune regroupe désormais toutes les notifications sur les menaces survenues.

De plus, l'application s'est enrichie d'un nouveau moteur antivirus et la qualité de la détection a été améliorée.

Pour mieux localiser les problèmes, un système de collecte et de sauvegarde des informations supplémentaires a été mis en place.

Pour les utilisateurs de Dr.Web Light pour Android, la mise à niveau vers la version 10.0 sera automatique. Si les mises à jour automatiques sont désactivées sur votre appareil, vous devez aller sur Google Play et, dans la liste des applications, sélectionner Dr.Web Light, puis cliquer sur "Mettre à jour".

Le 15 mai 2017

Le vendredi 12 mai, des ordinateurs dans le monde entier ont subi une attaque du ransomware Trojan.Encoder.11432, également connu sous le nom WannaCry, WannaCryptor, WanaCrypt0r, WCrypt, WCRY et WNCRY. Des institutions gouvernementales et commerciales ainsi que des particuliers ont été atteints. Les utilisateurs de logiciels Dr.Web ont été et restent hors de danger.

La première modification du Trojan connue de Dr.Web (Wanna Decryptor 1.0) a été soumise à l'analyse au Labo Doctor Web le 27 mars 2017 à 07:20 et le même jour à 11:51, le programme malveillant a été ajouté à la base de données virales.

Le ransomware Trojan.Encoder.11432, connu sous le nom de WannaCry, a commencé à se propager activement vendredi soir et durant le week-end dernier, il a frappé les ordinateurs de grandes organisations dans le monde entier.

Doctor Web a reçu son échantillon le 12 mai à 10:45 et l'a ajouté aux bases de données virales Dr.Web.

Avant d'être référencé dans la base, le Trojan était détecté par Dr.Web comme BACKDOOR.Trojan.

Le cheval de Troie est un encodeur multi-composants, qui a reçu le nom de Trojan.Encoder.11432. Il comprend quatre composants : un ver réseau, un injecteur (ou dropper, en anglais) de l'encodeur, un encodeur et un décodeur.

Trojan.Encoder.11432 chiffre les fichiers se trouvant sur la machine contaminée et demande une rançon pour le déchiffrement. L’argent doit être transféré en crypto monnaie Bitcoin.

La cause de la propagation massive du Trojan réside dans la vulnérabilité du protocole SMB. Cette vulnérabilité affecte tous les systèmes d’exploitation Windows au-dessous de la version 10. Pour nos utilisateurs, le Trojan.Encoder.11432 ne représentait pas de danger dès le début de sa diffusion.

Pour vous protéger de ce ransomware, nous recommandons ce qui suit :

• Installez la mise à jour de votre système d’exploitation MS17-010 qui est disponible à l’adresse technet.microsoft.com/en-us/library/security/ms17-010.aspx ainsi que toutes les mises à jour de sécurité courantes,
• mettez à jour votre antivirus,
• à l'aide du pare-feu, fermez les ports attaqués (139, 445),
• désactivez le service système vulnérable qui est ciblé par le malware,
• interdisez l'installation et le lancement de nouveaux logiciels (fichiers exécutables),
• retirez les droits des utilisateurs superflus (droits pour exécuter et installer de nouveaux logiciels),
• supprimez les services inutiles dans l'OS,
• interdisez l'accès au réseau Tor.

Le 12 mai 2017

Les spécialistes de Doctor Web ont détecté et examiné un Trojan ciblant macOS et capable d'exécuter des commandes reçues à distance.

Le Trojan backdoor a été ajouté aux bases de données virales Dr.Web sous le nom Mac.BackDoor.Systemd.1 . Au moment du lancement, il affiche, dans la console, le message suivant contenant une erreur " This file is corrupted and connot be opened " et redémarre en tant que daemon avec le nom systemd. Dans le même temps, Mac.BackDoor.Systemd.1 tente de cacher son propre fichier pour lequel il installe des indicateurs appropriés. Ensuite, le Trojan s'enregistre dans l'autorun, en créant un fichier avec les commandes sh et un fichier .plist.

Des informations de configuration sont stockées sous forme chiffrée dans le fichier du Trojan. Selon ces informations, Mac.BackDoor.Systemd.1 établit une connexion au serveur de gestion, ou reste en attente d'une demande entrante pour la connexion. Une fois la connexion établie, le backdoor exécute les commandes reçues et envoie périodiquement aux pirates les informations suivantes :

• nom et version de l'OS,
• nom de l'utilisateur,
• si l'utilisateur dispose des droits d'administrateur (root),
• adresses MAC de toutes les interfaces réseau disponibles,
• adresses IP de toutes les interfaces réseau disponibles
• adresse IP externe,
• type de processeur,
• volume de RAM
• données sur sur la version du malware et sa configuration.

Le Trojan a son propre gestionnaire de fichiers, avec lequel les cybercriminels peuvent effectuer diverses opérations avec des fichiers et des dossiers sur l'ordinateur infecté. Le backdoor peut exécuter les commandes suivantes :

• obtenir une liste de fichiers se trouvant dans un dossier indiqué,
• lire un fichier,
• écrire dans un fichier,
• obtenir le contenu d'un fichier,
• supprimer un fichier ou un dossier,
• renommer un fichier ou un dossier
• modifier les droits pour un fichier ou un dossier (commande chmod),
• modifier le propriétaire d'un objet fichier (commande chown),
• créer un dossier
• exécuter une commande dans le shell bash,
• mettre à jour le Trojan,
• réinstaller le Trojan,
• modifier l'adresse IP du serveur de gestion,
• installer un plug-in

Les produits Dr.Web détectent et suppriment le Trojan Mac.BackDoor.Systemd.1 , qui ne représente donc aucun danger pour nos utilisateurs.

Plus d'infos sur ce Trojan

Le 11 mai 2017

Doctor Web, éditeur russe des solutions antivirus Dr.Web annonce la mise en place du projet " Ensemble contre les ransomwares" et invite tout ceux qui le désirent à passer un test sur la capacité de faire face à la menace la plus dangereuse aujourd'hui, à la contamination par les Trojans de la famille Trojan.Encoder.

Ce nouveau projet propose aux internautes de passer un test de 10 questions afin d'apprendre à configurer Dr.Web pour protéger les données contre les ransomwares de la famille Trojan.Encoder.

Participez au projet " Ensemble contre les ransomwares" pour savoir comment configurer correctement Dr.Web et protéger vos fichiers.

Ce n'est pas un test ordinaire, c'est pourquoi il n'y a pas de bonnes ou de mauvaises réponses. Le projet vise principalement à motiver les internautes à évaluer leurs connaissances sur les ransomwares, et à leur apprendre à utiliser les dernières technologies Dr.Web pour se protéger.

Ceux qui passent le test recevront 100 Dr.Webonus. Les participants qui aident à diffuser le projet, qui publient le lien vers le projet ou repostent la news sur le projet recevront 10 Dr.Webonus pour chaque lien ou chaque repost.

Nous vous invitons à rejoindre le projet, à passer le test et à en parler à vos amis afin qu'un maximum de gens puissent prendre conscience de l'importance du problème et protègent leurs données. Nous sommes sûrs qu’ensemble, nous pouvons arrêter l’épidémie de ransomwares à chiffrement.

Le 3 mai 2017

Doctor Web annonce la sortie de Dr.Web pour Microsoft Exchange Server en version 11.0.2. La mise à jour corrige les erreurs détectées.

Dans Dr.Web pour Microsoft Exchange Server, la mise à jour corrige les erreurs pouvant entraîner les problèmes suivants :

• une mise à jour incorrecte des profils utilisateur lors de la mise à niveau depuis des versions précédentes du produit,
• l'impossibilité de se connecter à Active Directory,
• l'impossibilité de désactiver l’analyse des programmes potentiellement dangereux, dialers, adwares, hacktools et canulars.

Pour plus d'infos sur la mise à niveau et les pré-requis système pour Dr.Web 11.0.2 pour Microsoft Exchange Server, consultez «Les notes» relatives à la sortie de la nouvelle version.