WannaCry

Les premières infections ont eu lieu en Espagne[17] ou au Royaume-Uni[8] avant de se répandre dans le reste du monde en quelques heures[17]. La première nuit, le nombre supposé de contaminations s'élevait à 100 000 systèmes Windows[17]. Il semblerait que les premières traces du virus remontent au mois de février précédent[18]. Certaines compagnies ont fait le choix d'arrêter les chaînes de production contaminées pour tenter de stopper la propagation[17].

Le système national de santé britannique (NHS) est l'une des principales victimes du ransomware[17]. Cinquante hôpitaux du NHS[6]^,[5]^,[19]^,[8], c'est-à-dire 20 % d'entre eux, sont concernés[12]. En effet, ils possèdent des dizaines de milliers d’ordinateurs utilisant encore Windows XP[19].

Il a été possible de retarder la propagation du virus en enregistrant un nom de domaine spécifique, un killswitch, ce qu'a fait un chercheur britannique[6]^,[20]. Il s'agirait d'une sécurité conçue par les développeurs du logiciel eux-mêmes[17]^,[2]. Le virus se propage tant que le nom de domaine défini précédemment n'est pas enregistré, mais l'étape de propagation s'inhibe si tel est le cas[6]^,[18]. Il s'agissait de iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Ce répit a été de courte durée puisque le virus s'est adapté dès lors. Au moins deux autres variantes se sont répandues peu de temps après, dont une ne comportant pas une sécurité par nom de domaine[3]. Le nom de domaine issu d'une de la seconde de ces variantes est ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com[21], les deux ayant le même suffixe. Plusieurs autres « coupe-circuits » ont au fur et à mesure été repérés[10]. Il comporte aussi un redémarrage automatique en cas d'interruption de l’exécution[8]. De même, outre le chiffrement des fichiers de travail de l'utilisateur, le logiciel modifie des volumes systèmes afin de gêner les anti-virus ne s'étant pas activés à temps[8].

La BBC affirme que ce virus serait l'expression d'un mécontentement envers la politique de Donald Trump[22]^{,[source insuffisante]}. Certains journalistes font le rapprochement avec le refus d'Apple de partager des techniques sensibles avec la NSA lors d'une des enquêtes contre le terrorisme de cette dernière, en 2015[23].

Comme la plupart des virus informatiques, celui-ci se transmet par le réseau local[24] et Internet[22] via des pièces jointes contaminées[6]^,[17]^,[8] envoyées par un grand nombre d'e-mails[25] via un botnet[3]. Cette thèse est controversée, car aucune trace de ces e-mails n'a été trouvée : « Tout le monde cherche ce fameux e-mail initial et, en quatre jours, aucune équipe n’est parvenue à mettre la main dessus. » affirme Vincent Nguyen, manageur de Wavestone responsable du CERT-Wavestone[26].

Une seconde thèse est avancée par des chercheurs affirmant que leurs honeypots simplement connectés à Internet se sont fait très rapidement contaminer[26]. Il est donc auto-répliquant[3].

De manière commune à tous les ransomwares, une fois la contamination effectuée, le virus chiffre tous les fichiers sur l'ordinateur concerné et affiche une demande de rançon à l'utilisateur.

Il se propage ensuite en se connectant à d'autres ordinateurs vulnérables[12], ce de manière totalement autonome[3]. Le système d'exploitation Linux, possédant en partie une intégration du protocole Samba, ne semble pas ciblé[19].

Ce ransomware se caractérise par la rapidité de son attaque[10], affectant des centaines de milliers de machines par le monde en un week-end[26]. La fréquence d'attaque a été d'au moins une tentative par seconde[10] et de 226 800 adresses IP[11] affectées à son point fort. De même, il ne semble pas avoir fait l'objet de phases de test mais plutôt d'une période d'enquête préliminaire[26]. Ainsi, ni la piste d'une organisation criminelle, ni celle d'une attaque étatique (ou soutenue par un État) n'est écartée[18]. Europol affirme qu'aucun pays n'est particulièrement visé[24].

La rançon demandée est, ici aussi, une somme en bitcoins[24], d'une valeur relativement basse[18] comprise entre 300[17]^,[24] et 600 dollars[22]^,[2]^,[19]. Elle est initialement de 300 pour ensuite s'élever à 600 après trois jours si l'utilisateur n'a toujours pas payé, les données sont ensuite supprimées après sept jours[6]^,[18]. Les malfaiteurs comptent sur le grand nombre d’infections[18]. Normalement, une fois la rançon payée, une clé de chiffrement détenue par les hackers permet de déverrouiller l'ordinateur, mais rien ne le garantit. En effet, le code analysé montre que le déchiffrement des fichiers nécessite une intervention manuelle de la part des malfaiteurs[19].

Des spécialistes affirment donc que, même si la rançon est payée, les utilisateurs ont peu de chance de voir leur fichiers déchiffrés et de pouvoir les récupérer[10]. De même, aucune récupération de fichiers avec succès n'a été repérée jusqu'alors[10]. Les transactions en bitcoins étant publiques, les malfaiteurs auraient reçu 51,92 bitcoins[27], soit plus de 95 000 dollars au moment de l'attaque[28]^,[29]^,[30]. Un robot Twitter a été créé dans le but de montrer l'augmentation de cette somme[31].

Compte tenu de l'ampleur de l'impact potentiel pour ses clients et leurs entreprises, Microsoft a exceptionnellement mis à disposition des mises à jour de sécurité pour les plates-formes qu'elle ne maintient plus, c’est-à-dire Windows XP,Windows 8 et Windows Server 2003[1]^,[5]. La firme affirme que Windows 10 n'est pas concerné[32]^,[14]. Brad Smith (en), dirigeant de la firme, pointe du doigt la responsabilité des agences de renseignement dans les affaires de ce type[9]^,[33] et espère qu'elle leur fera prendre conscience de leur responsabilité[32] : « Cette attaque fournit un nouvel exemple pour illustrer le problème de l’entreposage des failles par les gouvernements »[34]^{[source insuffisante]}.

En France, le Parquet de Paris a confié une enquête en flagrance à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication[6] pour « accès et maintien frauduleux dans des systèmes de traitement automatisé des données », « entrave au fonctionnement de ces systèmes » et « extorsions et tentatives d'extorsion. » L'office européen des polices Europol travaille aussi sur cette affaire[14]. Cette attaque aurait causé des dizaines de millions de dollars de dégâts[35].

Les internautes ayant vu leur ordinateur infecté sont invités à garder une copie des fichiers chiffrés. En effet, il est possible qu'un chercheur trouve par la suite un moyen de les déchiffrer[18].

En Suisse, la Centrale d'enregistrement et d'analyse pour la sûreté de l'information a déclaré que la cyberattaque a infecté près de 200 machines au pays[36].

Quelques jours plus tard, une deuxième cyberattaque de grande ampleur, Adylkuzz, a frappé des centaines de milliers d'ordinateurs ; elle exploite les mêmes failles de sécurité que WannaCry[11]^,[37]. Puis, le 27 juin 2017, une autre cyberattaque de grande ampleur, NotPetya, a affecté des centaines de milliers d'ordinateurs, en exploitant également ces vulnérabilités.

La recherche se tourne vers le « patient zéro », c'est-à-dire le premier ordinateur à avoir été infecté[4].

Bien qu'il soit assez difficile de repérer avec précision l'origine de l'attaque, des chercheurs spécialistes en sécurité informatique ont communiqué au sujet d'un lien probable avec la Corée du Nord. L'ingénieur Neel Nehta, informaticien, employé de la société Google, a mis en ligne des portions de code source qui démontreraient certaines similitudes entre ce nouveau virus et une autre série de piratages attribués à ce pays asiatique[38]. Les hackers nord-coréens soupçonnés appartiennent au collectif Lazarus Group (en)[39], s'étant fait remarquer en 2007, comme l’affirme Kaspersky[11].

D'autres chercheurs ont également fait le lien avec des pirates informatiques chinois[40]. Les experts de Flashpoint ont analysé les messages de rançon de WannaCry dans 28 langues différentes. Leurs résultats montrent que les pirates parlent couramment chinois dont le message est grammaticalement mieux construit et contient plus d'informations. Les autres traductions ont été obtenues à partir du message anglais (contenant une faute grammaticale grave) et de Google Traduction. Les bouts de programme pointant vers le collectif Lazarus Group (en) auraient pu n'être implantés dans le malware qu'afin de couvrir les traces des pirates.

En août 2017, le chercheur britannique, Malwaretech, qui avait aidé à stopper le virus est arrêté à Las Vegas où il était à l'occasion de la Def Con. L'arrestation n'est cependant pas liée à WannaCry mais concerne un autre logiciel de vol d'informations de transactions bancaires[41]. Cette arrestation est controversée dans la communauté des défenseurs des droits sur Internet : l'Electronic Frontier Foundation a mobilisé des avocats pour faire valoir les droits du hacker et s'assurer de la raison réelle de son arrestation[42].

• Carte du monde des détections en temps réel du virus
• Bulletin de sécurité Microsoft MS17-010 détaillant les logiciels concernés et indices de gravité de la vulnérabilité
• Catalogue des mises à jour pour Microsoft Windows concernant la vulnérabilité MS17-010
• La radio France Culture consacre le 16/05/2017 une table ronde (2 × 20 min) avec plusieurs experts (dont Daniel Glazman) : partie 1/2, partie 2/2.

• Adylkuzz
• NotPetya
• I love you (ver informatique)
• Petya

• Portail de la sécurité informatique
• Portail de la criminologie
• Portail des années 2010