Petya – Un nouveau ransomware qui verrouille totalement votre ordinateur

Petya – Un nouveau ransomware qui verrouille totalement votre ordinateur

Vous pensiez que Locky était méchant ?

Et bien c’est parce que vous ne connaissez pas encore Petya. Ce ransomware tout frais démoulé ne se contente pas de chiffrer vos petits fichiers pour les prendre en otage…

Non, non… Il chiffre la MFT (Master File Table – Table de fichiers principale) et remplace la MBR (Master Boot Record – Zone d’amorce) par son propre programme qui réclame alors de l’argent pour obtenir la clé de déchiffrement.

Pour se répandre, Petya utilise ce qu’on appelle des campagnes de spear-phishing, avec une série d’emails en allemand semblant provenir d’un chercheur d’emploi qui envoie son CV à télécharger via un lien Dropbox.

csm_Petya-Email-Bewerbung_2_404e3ba086

Capture d'écran 2016-03-29 15.52.04

Si le destinataire est endormi, il va alors cliquer sur le lien, télécharger l’exécutable et le lancer. À ce moment-là, Petya écrasera la MBR, ce qui provoquera un écran bleu (ou autre couleur) de la mort et l’ordinateur redémarrera. Ensuite, c’est un faux checkdisk qui se lancera, faisant croire à une réparation du disque. En vérité, en arrière-plan, c’est la MFT (et tous les fichiers présents sur votre disque dur ? Ça reste à confirmer…) qui est alors chiffré.

Petya ransomware

Dès que le processus de chiffrement est terminé, un écran rouge avec une tête-de-mort apparaitra alors, réclamant 0,99 Bitcoin soit environ 366 € pour obtenir la clé de déchiffrement. Impossible de retourner sous Windows ou de le réparer.

csm_petya_98d3b027ca

Petya-RansomNote

csm_Petya-RansomSite_8ebf23a247

En gros, une fois que Petya a fait son chemin sur votre ordinateur, la seule solution qui s’offre à vous est de réparer la MBR et réinstaller Windows. Ou de payer la rançon, mais ce n’est pas quelque chose que je vous conseille, car l’issue reste incertaine, la somme est élevée et ça encourage les criminels à continuer. Bon normalement, Dropbox est informé et fait ce qu’il faut pour supprimer les copies de Petya, mais il y a fort à parier que l’exécutable sera rapidement hébergé ailleurs.

Edit : Si ce tweet n’est pas un gros poisson d’avril, il semblerait que Petya encode la MFT simplement avec un XOR dont la valeur serait 7. Tout espoir n’est donc pas perdu.

Pour se prémunir de Petya, je vous invite à relire mon article sur Locky, mais en gros, pour faire court, c’est :

  • 1/ Soyez vigilant sur ce que vous exécutez sur votre machine
  • 2/ Faites des sauvegardes quotidiennes

Bonne chance et faites tourner. La prévention par l’information est la meilleure des protections (et ça rime, nom d’un ganglion !).

source: http://korben.info/petya-ransomware.html

Ah et en bonus, voici une vidéo qui montre Petya à l’oeuvre…

Share this post

Comment (1)

  • Hébergement informatique Reply

    Déjà en lisant bien l’article, je vois que le mail est en allemand, donc, je ne lirai pas une ligne. Ensuite, il s’agit d’une candidature spontanée étrange pour un poste quelconque. Si un individu lamba le reçoit, il n’y a aucune raison pour qu’on lise un mail qui nous concerne pas. Il faut être prudent et ne pas ouvrir n’importe quoi.

    6 avril 2016 at 10 h 25 min

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *