le 4 juillet 2017

Les analystes de Doctor Web ont examiné le module de mise à jour du logiciel M.E.Doc et ont constaté que ce module a été impliqué dans la propagation d'au moins un autre programme malveillant. Nous rappelons que, selon les données des chercheurs indépendants, c'est le module de mises à jour du logiciel de comptabilité fiscale M.E.Doc très populaire en Ukraine qui est à l’origine de l’épidémie causée par le ver-ransomware Trojan.Encoder.12544 également connu sous les noms de NePetya, Petya, ExPetya et WannaCry-2.

Les chercheurs affirment qu'au départ, le Trojan.Encoder.12544 a été propagé en utilisant l'application dite M.E.Doc et développée par une société ukrainienne, Intellect Service. Dans un des modules du système de mise à jour de M.E.Doc nommé ZvitPublishedObjects.Server.MeCom, les analystes de Doctor Web ont détecté un enregistrement correspondant à la clé caractéristique du registre Windows : HKCU\SOFTWARE\WC.

Ils ont donc prêté attention à cette clé de Registre en raison du fait que le même chemin est utilisé par le ransomware Trojan.Encoder.12703 . L'analyse des logs Dr.Web sur l'ordinateur d'un de nos clients a montré que le ransomware Trojan.Encoder.12703 a été lancé par l'application ProgramData\Medoc\Medoc\ezvit.exe, qui est un composant du programme M.E.Doc :

Le fichier ZvitPublishedObjects.dll demandé depuis la machine contaminée avait le même hachage que l'échantillon examiné au Laboratoire de Doctor Web. Ainsi, nos analystes en ont conclu que le module de mise à jour du programme M.E.Doc, réalisé sous forme de la bibliothèque dynamique ZvitPublishedObjects.dll comprend un backdoor. Une enquête plus poussée a révélé que ce backdoor est capable de réaliser dans le système infecté les fonctionnalités suivantes :

• la collecte de données pour l'accès aux serveurs de messagerie;
• l'exécution de n'importe quelles commandes dans l'OS contaminé;
• le téléchargement sur l'ordinateur contaminé de fichiers particuliers;
• le téléchargement et le lancement de n'importe quels fichiers exécutables;
• il peut uploader des fichiers vers un serveur distant.

Le fragment suivant du code du module de mise à jour M.E.Doc semble très intéressant, car il permet de lancer une charge dite utile à l'aide de l'utilitaire rundll32.exe accompagné du paramètre #1:

C'est ainsi que le ransomware NePetya, Petya.A, ExPetya et WannaCry-2 (Trojan.Encoder.12544) a été lancé sur les ordinateurs de ses victimes .

Dans une interview publiée sur le site de l'agence Reuters , les développeurs du programme M.E.Doc ont affirmé que leur application ne contenait pas de fonctionnalités malveillantes. Compte tenu de cette interview et en prenant en compte les résultats de l'analyse statique du code, les analystes de Doctor Web ont conclu que des pirates non identifiés avaient infecté un des composants M.E.Doc. Ce composant a été ajouté aux bases de données virales Dr.Web sous le nom de BackDoor.Medoc.

Plus d'infos sur ce Trojan