Soudain, une fenêtre apparaît sur l'écran d'un ordinateur exécutant Windows avec des informations indiquant que les fichiers de l'utilisateur sont cryptés, et ils ne peuvent être décryptés qu'en payant aux pirates une rançon de 300 $. Cela doit être fait dans les trois jours, sinon le prix doublera, et après semaine, les données seront supprimées définitivement. Au contraire, physiquement, ils resteront sur le disque, mais il sera impossible de les décrypter. Pour démontrer que les données peuvent effectivement être décryptées, il est suggéré d'utiliser la "version démo gratuite".
Exemple de message concernant un ordinateur compromis
Qu'est-ce que le cryptage
Vous pouvez crypter toutes les données de votre ordinateur. Comme ce sont tous des fichiers, c'est-à-dire des séquences de zéros et de uns, vous pouvez écrire les mêmes zéros et uns dans une séquence différente. Par exemple, si nous convenons qu'au lieu de chaque séquence "11001100" nous écrirons "00001111", alors quand nous verrons "00001111" dans le fichier chiffré, nous saurons qu'il s'agit en fait de "11001100", et nous pouvons facilement déchiffrer les données. Des informations sur les modifications apportées à ce que l'on appelle la clé de chiffrement et, hélas, seuls les pirates ont la clé dans ce cas. Il est individuel pour chaque victime et n'est envoyé qu'après paiement des «services».
Les pirates peuvent-ils être attrapés
Dans ce cas, la rançon doit être payée en utilisant des bitcoins - une crypto-monnaie électronique. L'essence de l'utilisation des bitcoins, en bref, est que les données de paiement sont transmises via une chaîne de serveurs de telle sorte que chaque serveur intermédiaire ne sache pas qui est l'expéditeur et le destinataire d'origine du paiement. Par conséquent, d'une part, le «bénéficiaire» final est toujours totalement anonyme et d'autre part, le transfert d'argent ne peut pas être contesté ou annulé, c'est-à-dire qu'un pirate informatique, recevant une rançon, ne risque rien. La capacité de recevoir rapidement et impunément de grosses sommes d'argent incite les pirates à rechercher de nouvelles façons de pirater.
Comment se protéger du piratage
En général, les ransomwares existent depuis dix ans - en règle générale, il s'agissait de chevaux de Troie. Autrement dit, le programme de ransomware a été installé de sa propre stupidité par l'utilisateur lui-même, par exemple, sous le couvert d'un «crack» pour pirater une suite bureautique coûteuse ou un ensemble de nouveaux niveaux pour un jeu populaire, téléchargé de nulle part. L'hygiène informatique de base protège contre ces chevaux de Troie.
Cependant, nous parlons maintenant d'une attaque de virus (virus Wanna Decrypt0r 2.0) qui exploite les vulnérabilités des systèmes d'exploitation Windows et des protocoles de transfert de fichiers réseau (SMB), qui infecte tous les ordinateurs du réseau local. Les antivirus sont silencieux, leurs développeurs ne savent pas encore quoi faire et étudient seulement la situation. La seule façon de vous protéger est donc de sauvegarder régulièrement vos fichiers importants et de les stocker sur des disques durs externes déconnectés du réseau. Vous pouvez également utiliser des systèmes d'exploitation moins vulnérables - Linux ou Mac OS.
«Aujourd'hui, nos spécialistes ont ajouté une mise à jour: détection et protection contre un nouveau malware appelé Ransom: Win32.WannaCrypt. En mars, nous avons également ajouté une mise à jour de sécurité qui offre une protection supplémentaire contre une attaque potentielle. Les utilisateurs de notre antivirus gratuit et de Windows mis à jour sont protégés. Nous travaillons avec les utilisateurs pour fournir une assistance supplémentaire. "
Christina Davydova
attaché de presse pour Microsoft Russie
Comment enregistrer des fichiers
Si les fichiers sont déjà cryptés et qu'il n'y a pas de sauvegarde, alors, hélas, vous devrez payer. Cependant, il n'y a aucune garantie que les pirates ne les chiffreront pas à nouveau.
Les piratages ne conduiront pas à des cataclysmes mondiaux: sans actes de comptabilité ou rapports locaux, bien sûr, c'est difficile, mais les trains circulent et le réseau MegaFon fonctionne sans échec - personne ne fait confiance aux données critiques sur les ordinateurs de bureau et les serveurs Windows ordinaires. disposent d'une protection en plusieurs étapes contre le piratage (jusqu'au matériel au niveau du routeur), ou complètement isolés d'Internet et des réseaux locaux auxquels les ordinateurs des employés sont connectés. À propos, juste en cas de cyberattaques, les données importantes des agences gouvernementales sont stockées sur des serveurs fonctionnant sur des assemblages Linux spéciaux résistants à la cryptographie et dotés de la certification appropriée, et le ministère de l'Intérieur exécute également ces serveurs sur des processeurs Elbrus russes, pour l'architecture dont les attaquants n'ont certainement pas compilé le code de virus ...
Que va-t-il se passer ensuite
Plus les personnes sont touchées par le virus, plus paradoxalement ce sera mieux: ce sera une bonne leçon de cybersécurité et vous rappellera la nécessité de sauvegardes de données constantes. Après tout, ils peuvent non seulement être détruits par des pirates informatiques (autre façon 1000 et 1), mais aussi perdus avec la perte physique du support sur lequel ils ont été stockés, et alors seul vous-même sera à blâmer. Vous serez heureux de payer 300 $ et 600 $ pour les travaux de toute votre vie, qu'il n'y ait personne!
- 12 mai 2017, 19:43 Les systèmes informatiques du ministère de l'Intérieur et de Megafon ont subi une attaque de virus
Le système informatique interne du ministère de l'Intérieur de la Russie a été touché par un virus, rapporte "Varlamov.ru" en référence à plusieurs sources proches de la situation.
La source de Mediazona au ministère de l'Intérieur a confirmé l'infection des ordinateurs du département. Selon lui, on parle de départements dans plusieurs régions.
Auparavant, des informations sur une éventuelle infection virale apparaissaient sur le site Web de Pikabu et sur le forum Kaspersky. Selon certains utilisateurs, il s'agit d'un virus WCry (aussi connu sous le nom Vouloir pleurer ou WannaCryptor) - il crypte les fichiers utilisateur, modifie leur extension et nécessite l'achat d'un décrypteur spécial pour les bitcoins; sinon les fichiers seront supprimés.
Selon les utilisateurs du forum Kaspersky, le virus est apparu pour la première fois en février 2017, mais "a été mis à jour et a maintenant un aspect différent des versions précédentes".
Le service de presse de "Kaspersky" n'a pas pu commenter rapidement l'incident, mais a promis de publier une déclaration dans un proche avenir.
Membre de l'entreprise Avast Jakub Kroustek signalé a tweeté qu'au moins 36 000 ordinateurs ont été infectés en Russie, en Ukraine et à Taiwan.
Le site Web de Varlamov note que des informations sont également apparues sur l'infection d'ordinateurs dans les hôpitaux publics de plusieurs régions du Royaume-Uni et une attaque contre une entreprise de télécommunications espagnole. Telefonica... Dans les deux cas, le virus demande également un paiement.
La société a noté que dans la mise à jour de mars, une protection supplémentaire contre ces virus était déjà fournie.
«Les utilisateurs de notre antivirus gratuit et de Windows mis à jour sont protégés. Nous travaillons avec les utilisateurs pour fournir une assistance supplémentaire », a ajouté la société.
Auparavant, Kaspersky Lab "Mediazone" que le virus WannaCrypt exploite une vulnérabilité du réseau Windows, fermé par des spécialistes de Microsoft en mars.
Le ministère de l'Intérieur a confirmé les attaques de pirates informatiques contre leurs ordinateurs
Le ministère de l'Intérieur a confirmé les attaques de pirates informatiques contre leurs ordinateurs, rapporte RIA Novosti.
Selon l'attachée de presse du ministère de l'Intérieur Irina Volk, le Département des technologies de l'information, des communications et de la protection de l'information du ministère a enregistré une attaque de virus sur les ordinateurs du ministère de l'Intérieur avec le système d'exploitation Windows.
«Grâce aux mesures prises en temps opportun, environ un millier d'ordinateurs infectés ont été bloqués, ce qui est inférieur à 1%», a déclaré Volk, ajoutant que les ressources serveur du ministère de l'Intérieur n'étaient pas infectées, car elles fonctionnent sur d'autres systèmes d'exploitation.
«Pour le moment, le virus a été localisé, des travaux techniques sont en cours pour le détruire et mettre à jour la protection anti-virus», a déclaré une porte-parole du ministère.
Plus de six mille dollars transférés dans les portefeuilles Bitcoin de pirates qui propagent le virus WannaCry
Au moins 3,5 bitcoins ont été transférés aux pirates qui ont propagé le virus du ransomware WannaCry, écrit Meduza. Selon le taux de 1740 dollars par bitcoin à 22h00, heure de Moscou, ce montant est de 6090 dollars.
Meduza est arrivé à cette conclusion en se basant sur l'historique des transactions sur les portefeuilles Bitcoin, auxquels le virus a demandé de transférer de l'argent. Les adresses du portefeuille ont été publiées dans un rapport de Kaspersky Lab.
Sur trois portefeuilles, 20 transactions ont été effectuées le 12 mai. Fondamentalement, ils leur ont transféré 0,16-0,17 bitcoin, ce qui équivaut à environ 300 $. Les pirates ont exigé de payer ce montant dans une fenêtre contextuelle sur les ordinateurs infectés.
Avast compté 75 mille attentats dans 99 pays
société informatique Avast a signalé que le virus WanaCrypt0r 2.0 a infecté 75 000 ordinateurs dans 99 pays, selon le site Web de l'organisation.
La plupart des ordinateurs ont été infectés en Russie, en Ukraine et à Taiwan.
Il y a 13 heures, le blog du spécialiste de la sécurité informatique Brian Krebs a publié un record de transfert de bitcoins à des pirates pour un montant total de 26 mille dollars américains.
Europol: 200 mille ordinateurs dans 150 pays ont subi une attaque virale
Infection par virus Vouloir pleurer en trois jours, plus de 200 mille ordinateurs dans 150 pays ont déjà été soumis, a-t-il déclaré dans une interview à une chaîne de télévision britannique ITV Directeur du service de police européen Europol Rob Wainwright. Ses paroles sont citées Nouvelles du ciel.
«La propagation du virus dans le monde est sans précédent. Selon les dernières estimations, il y a 200 000 victimes dans au moins 150 pays, y compris des entreprises, y compris de grandes entreprises », a déclaré Wainwright.
Il a suggéré que le nombre d'ordinateurs infectés augmentera probablement considérablement lorsque les gens retourneront travailler sur leurs ordinateurs lundi. Dans le même temps, Wainwright a noté que jusqu'à présent, les gens ont transféré «étonnamment peu» d'argent aux distributeurs du virus.
En Chine, le virus a attaqué les ordinateurs de 29000 institutions
Virus Vouloir pleurer attaqué les ordinateurs de plus de 29 000 institutions, le nombre d'ordinateurs touchés passe à des centaines de milliers, l'agence de presse Xinhua cite des données du centre d'évaluation des menaces informatiques Qihoo 360.
Selon les chercheurs, les ordinateurs de plus de 4 340 universités et autres établissements d'enseignement ont été attaqués. En outre, des infections ont été notées sur les ordinateurs des gares, des organisations postales, des hôpitaux, des centres commerciaux et des agences gouvernementales.
«Il n'y a eu aucun dommage important pour nous, pour nos institutions - ni pour les banques, ni pour le système de santé, ni pour les autres», a-t-il déclaré.
«Quant à la source de ces menaces, alors, à mon avis, la direction de Microsoft l'a déclaré directement, a déclaré que la principale source de ce virus est les services secrets américains, la Russie n'a absolument rien à voir avec cela. C'est étrange pour moi d'entendre quelque chose de différent dans ces conditions », a ajouté le président.
Poutine a également appelé à une discussion du problème de la cybersécurité "à un niveau politique sérieux" avec d'autres pays. Il a souligné qu'il est nécessaire "de développer un système de protection contre de telles manifestations".
Le virus Vouloir pleurer des clones sont apparus
Le virus Vouloir pleureril y a eu deux modifications, écrit Vedomosti en référence à Kaspersky Lab. La société pense que les deux clones ont été créés non pas par les auteurs du ransomware original, mais par d'autres pirates qui tentent de tirer parti de la situation.
La première modification du virus a commencé à se propager le matin du 14 mai. Kaspersky Lab a détecté trois ordinateurs infectés en Russie et au Brésil. Le deuxième clone a appris à contourner un morceau de code qui a arrêté la première vague d'infections, a noté la société.
Il écrit également sur les clones de virus Bloomberg... Fondateur de l'entreprise Technologies ComaeMatt Suish, spécialiste de la cybersécurité, a déclaré qu'environ 10 000 ordinateurs avaient été infectés par la deuxième modification du virus.
Selon Kaspersky Lab, six fois moins d'ordinateurs ont été infectés aujourd'hui que le vendredi 12 mai.
Virus Vouloir pleurer peut avoir été créé par un groupe de hackers nord-coréen Lazare
Virus ransomware Vouloir pleurer aurait pu être créé par des hackers du groupe nord-coréen Lazarus, selon un site spécialisé de Kaspersky Lab.
Les spécialistes de l'entreprise ont attiré l'attention sur le tweet de l'analyste Google Neil Mehta. Comme conclu dans "Kaspersky Lab", le message indique la similitude entre les deux échantillons - ils ont un code commun. Le tweet présente un échantillon cryptographique Vouloir pleurer à partir de février 2017 et groupe échantillon Lazare daté de février 2015.
"Le détective se tord de plus en plus et maintenant le même code se trouve dans # Vouloir pleurer et dans les chevaux de Troie de Lazare», —
Les logiciels malveillants sont le nom de tous les produits logiciels connus pour nuire à l'utilisateur final.
Les cybercriminels continuent de proposer des moyens nouveaux et intelligents de diffuser des logiciels malveillants, dont la plupart sont conçus pour le système d'exploitation Android. Dans ce cas, le virus peut être "ramassé" non seulement sur un site douteux, mais aussi en recevant un message avec un lien d'une personne que vous connaissez (ami, parent, collègue).
L'une des modifications de logiciels malveillants pour smartphones et tablettes basés sur le système d'exploitation Android, une fois qu'elle aura frappé votre appareil mobile, enverra d'abord un lien avec un message amical «Découvrez le lien!» ou "Ma photo pour vous" pour toute la liste de contacts. Tous ceux qui suivent le lien recevront le virus sur leur smartphone.
Mais le plus souvent, les criminels font passer les chevaux de Troie comme des applications utiles.
Quelle est la menace du virus?
Le cheval de Troie qui en résulte peut non seulement envoyer des SMS à vos amis, mais également vider votre compte. Les chevaux de Troie bancaires sont parmi les plus dangereux. Tous les propriétaires de gadgets qui utilisent des applications bancaires peuvent en souffrir. Les utilisateurs de smartphones Android sont les plus exposés - 98% des chevaux de Troie bancaires mobiles sont conçus pour ce système d'exploitation.
Lors du lancement d'une application bancaire, le cheval de Troie affiche sa propre interface sur l'interface d'une véritable banque mobile. Et vole ainsi toutes les données que l'utilisateur entre. Les logiciels malveillants les plus avancés peuvent usurper les interfaces de dizaines de banques mobiles, de systèmes de paiement et même de systèmes de messagerie différents.
Une autre étape importante dans le vol d'argent est l'interception de SMS avec des mots de passe à usage unique pour effectuer des paiements et des virements. Par conséquent, les chevaux de Troie ont généralement besoin de droits d'accès SMS, c'est pourquoi vous devez être particulièrement prudent avec les applications qui demandent de tels droits.
Signes que votre téléphone est infecté
Plusieurs signes indiquent que votre téléphone est infecté par des logiciels malveillants:
- Envoi de SMS cachés à la liste des contacts - amis, connaissances et collègues qui ont reçu des messages douteux commencent à vous contacter;
- Dépense rapide des fonds - les fonds du compte personnel sont débités plus rapidement que d'habitude;
- Débits non autorisés d'une carte bancaire;
- Absence de SMS de la banque - lorsque le service «SMS-informing» est connecté, vous ne recevez plus de notifications par SMS concernant le retrait de fonds du compte;
- La batterie se décharge plus rapidement.
Comment vous protégez-vous?
- Surveillez régulièrement la publication des mises à jour de sécurité pour le système d'exploitation de votre appareil mobile et installez-les en temps opportun;
- Installez un logiciel anti-virus sur votre smartphone, tablette, après l'installation, mettez-le à jour et vérifiez votre appareil mobile;
- Utiliser un logiciel antivirus en ligne et le mettre à jour régulièrement;
- Téléchargez et exécutez des applications uniquement à partir des magasins officiels - Play Store, App Store, Google Play, etc.
- Soyez prudent lorsque vous accordez des droits aux applications - les programmes qui demandent des droits d'accès pour traiter les messages SMS méritent une attitude particulièrement suspecte;
- Réfléchissez avant de suivre un lien. Ne perdez pas votre vigilance, n'ouvrez pas de liens à partir de lettres ou de SMS, ou de messages sur les réseaux sociaux, si vous n'êtes pas sûr que le message provienne d'un destinataire connu de vous et qu'il est en sécurité;
- Si vous avez reçu un SMS suspect avec un lien de votre ami, appelez-le pour savoir s'il a envoyé le message. Sinon, prévenez que son smartphone ou sa tablette est infecté par un virus;
- Soyez prudent sur les réseaux Wi-Fi publics, et lors de la connexion au réseau, assurez-vous qu'il est légitime;
- Utilisez des mots de passe complexes;
- Dans le menu «Paramètres», cliquez sur «Utilisation des données», dans la section «Sans fil et réseaux», vous pouvez voir la quantité de données utilisée par chaque application et définir une limite pour travailler avec les données;
- Activez "SMS-informing" sur le débit des fonds du compte - tous les chevaux de Troie n'interceptent pas les SMS.
Que faire en cas de vol d'argent?
La première chose à faire est de contacter la banque au plus vite.
Le directeur des relations publiques de MegaFon, Pyotr Lidov, a déclaré à Kommersant que le siège social de l'entreprise avait été piraté. «Les ordinateurs sont tombés en panne - un écran de verrouillage est apparu sur eux, où ils ont demandé 300 $ à déverrouiller», a-t-il déclaré. Ensuite, l'information est arrivée que la même chose s'est produite avec les abonnés de Telefonica et Vodafone en Espagne.
Selon Petr Lidov, les spécialistes ont dû désactiver les réseaux à un moment donné pour que le virus ne se propage pas davantage. «Un certain nombre de régions ont été touchées, le reste a dû être temporairement désactivé de manière préventive. Cela a affecté le commerce de détail et le support client, car les opérateurs utilisent naturellement des PC pour accéder aux bases de données. Les centres d'appels ont été réparés. Cela n'a pas affecté les communications et les comptes personnels », a déclaré M. Lidov.
Comme l'a déclaré un chercheur de Digital Security Boris Ryutin à Kommersant, les experts de MalwareHunterTeam et d'autres chercheurs indépendants conviennent qu'il s'agit d'un malware de type ransomware, c'est-à-dire d'un virus ransomware. «Le risque d'infection est que, selon la mise en œuvre, les fichiers de l'utilisateur peuvent être irrémédiablement perdus», a-t-il déclaré.
"Nous assistons à une attaque et le virus est très complexe", a déclaré Solar Security à Kommersant. "Pour le moment, nous développons des recommandations sur les contre-mesures." «Le virus est très complexe, et jusqu'à présent, il ne peut être exclu qu'il s'agisse de quelque chose de plus dangereux qu'un simple ransomware. Il est déjà évident que la vitesse de sa distribution est sans précédent », a ajouté la société.
La porte-parole de Microsoft, Kristina Davydova, a déclaré à Kommersant que les spécialistes avaient ajouté la détection et la protection contre un nouveau programme malveillant appelé Ransom: Win32.WannaCrypt. «En mars, nous avons également introduit une protection supplémentaire contre ce type de logiciels malveillants, ainsi qu'une mise à jour de sécurité qui empêche les logiciels malveillants de se propager sur le réseau», a-t-elle déclaré.
Les utilisateurs de Moscou, Nizhny Novgorod, Penza, Saratov, Samara, Ryazan, Ufa et d'autres villes russes ont annoncé qu'il était impossible de passer un appel - le réseau n'était pas disponible.
Tout d'abord, le Twitter officiel de la société est apparu des conseils pour définir le type de réseau «uniquement 3G» et redémarrer le téléphone, et maintenant tous les clients concernés reçoivent une réponse standard: «Pour le moment, il y a d'énormes difficultés de communication. Nous sommes déjà en train de le réparer. Nous nous excusons pour tout désagrément qui aurait pu être causé". La société a ajouté qu'elle ne dispose pas de données sur un délai précis pour résoudre le problème.
Numérotation infructueuse
Megafon a déclaré que le succès de la numérotation à Moscou et dans plusieurs autres villes avait chuté de 30%, notant que les appels étaient toujours possibles en utilisant la messagerie instantanée. Malheureusement, cela n'a pas satisfait beaucoup de clients de l'entreprise qui ne peuvent pas utiliser la messagerie instantanée sans accès au Wi-Fi.
Selon le service de presse de Megafon dans sa chaîne Telegram, la cause de la panne était un accident sur l'un des éléments de l'équipement du réseau.
En outre, dans l'un des bureaux de l'entreprise, ils ont également déclaré avoir eu un accident, mais le moment de l'élimination des conséquences est encore inconnu. Les employés qui souhaitent recevoir une compensation se voient proposer de rédiger une demande au bureau de l'entreprise. Interrogé sur les raisons de l'échec, il est signalé qu'une attaque de hacker est possible.
Quelque temps plus tard, après des rapports sur les échecs de Megafon, des informations sont apparues dans les médias selon lesquelles d'autres opérateurs de téléphonie mobile, par exemple Beeline, avaient également rencontré des problèmes de communication. Dans une conversation avec Gazeta.Ru, une porte-parole de la société a déclaré que le réseau fonctionnait normalement sans pannes massives et que la propagation de faux messages sur des problèmes avec le réseau de l'opérateur est due à la réponse d'un employé du support technique à propos de l'exploitation d'une station de base de la société.
L'attaché de presse a également informé Gazeta.Ru du travail stable: «Le réseau MTS fonctionne normalement.»
Lors d'une conversation téléphonique avec un correspondant, Lidov a déclaré que le jour de l'attaque, de nombreux ordinateurs de bureau de Megafon ont commencé à redémarrer et à émettre un message de rançon pour déchiffrer les données, et non seulement Moscou, mais également d'autres villes russes ont été touchées.
Heureusement, la propagation de l'attaque a été ralentie et, littéralement quelques heures plus tard, le travail de l'ensemble du centre d'appels Megafon a été rétabli afin que les abonnés puissent communiquer avec le service d'assistance. Le représentant de la société a souligné que le virus WannaCry n'affectait en rien les services de communication et que les données personnelles des clients de l'opérateur restaient en sécurité.
En janvier 2017, les utilisateurs de Megafon se sont également plaints de l'inaccessibilité de certains services - Multifon, MegafonTV, ainsi que de problèmes avec le site. La société a expliqué la panne comme un accident du centre de traitement des données (DPC) causé par des gelées anormales dans la région.
Après un certain temps, les services ont commencé à fonctionner normalement. Ensuite, le représentant de l'opérateur mobile a déclaré à Gazeta.Ru que l'ordre dans le système ne se mesurait pas par la présence de pannes, mais par la capacité de les éliminer rapidement. «Cela a été fait par les spécialistes de l'entreprise dans les plus brefs délais. Et la nuit en vacances », a ajouté Dorokhina.
