Toutes les versions de Windows semblent pouvoir \u00eatre affect\u00e9es dans la mesure o\u00f9 des outils d'administration classiques sont utilis\u00e9s pour la lat\u00e9ralisation. Les serveurs ainsi que les postes de travail font donc partie du p\u00e9rim\u00e8tre d'infection possible.
","closed_at":"2017-08-03","content":"## Vecteurs du0027infection\n\nL'ANSSI ne dispose pas \u00e0 cette heure de preuves relatives au vecteur\ninitial d'infection. \nL'usage envisag\u00e9 de la vuln\u00e9rabilit\u00e9 CVE-2017-0199 semble d\u00e9sormais\nexclu. Microsoft indique que le logiciel de paiement de taxe MEDoc\npourrait \u00eatre l'un des vecteurs initiaux d'infection via une mise \u00e0 jour\nautomatique.\n\nLorsque le maliciel s'ex\u00e9cute, celui-ci commence par s'attribuer autant\nde droits que son niveau de privil\u00e8ges lui permet. Il v\u00e9rifie ensuite si\ncertains logiciels anti-virus sont pr\u00e9sents. S'il poss\u00e8de le privil\u00e8ge\nSeDebugPrivilege, il cherche la pr\u00e9sence d'un fichier avant de continuer\nson ex\u00e9cution. Dans ce cas, celui-ci fait office de ce que l'on appelle\ncommun\u00e9ment un killswitch. Le nom de ce fichier est d\u00e9termin\u00e9 \u00e0 partir\ndu nom de l'ex\u00e9cutable malveillant pour lequel l'extension a \u00e9t\u00e9\nretir\u00e9e. Sur les souches identifi\u00e9es actuellement, le nom constat\u00e9 du\nbinaire est C:\\\\Windows\\\\perfc.dat. Par cons\u00e9quent le fichier v\u00e9rifi\u00e9\navant ex\u00e9cution est C:\\\\Windows\\\\perfc. Sur ces souches, la pr\u00e9sence de\nce fichier arr\u00eatera l'ex\u00e9cution du maliciel avant toute action\ndestructrice.\n\nSi ce fichier n'est pas pr\u00e9sent, le maliciel va alors modifier le Master\nBoot Record (MBR) afin d'effectuer des actions destructrices au prochain\nd\u00e9marrage de la machine. S'il rencontre une erreur lors de cette\nop\u00e9ration, alors les dix premiers secteurs du disques seront r\u00e9\u00e9crits\navec des z\u00e9ros pour emp\u00eacher la machine de d\u00e9marrer. Ceci est par\nexemple le cas si le disque a une table de partition GPT (GUID Partition\nTable) au lieu de MBR. L'effet g\u00e9n\u00e9ralement constat\u00e9 est un \u00e9cran noir \u00e0\nla place du message de ran\u00e7on. Dans ce cas, le syst\u00e8me est r\u00e9cup\u00e9rable \u00e0\ncondition de reconstruire la table de partition.\n\nEnsuite, il tente de cr\u00e9er une t\u00e2che planifi\u00e9e r\u00e9alisant un red\u00e9marrage\nde la machine.\n\nLe maliciel va alors commencer \u00e0 \u00e9num\u00e9rer les \u00e9quipements pr\u00e9sents sur\nle r\u00e9seau interne afin de se propager.\n\nDes droits \u00e9lev\u00e9s permettent au maliciel de voler les mots de passe\nlocaux soit en utilisant un outil de type Mimikatz en version 32 ou 64\nbits, et en faisant appel \u00e0 l'API CredEnumerateW. Le logiciel\nmalveillant dispose de plusieurs capacit\u00e9s pour se propager sur le\nr\u00e9seau :\n\n- en utilisant les identifiants r\u00e9cup\u00e9r\u00e9s sur la machine ainsi que\n l'outil l\u00e9gitime d'administration PSExec et du protocole WMI\u00a0;\n- en exploitant des vuln\u00e9rabilit\u00e9s du protocole SMB (identifi\u00e9es dans\n le bulletin MS17-010).\n\nApr\u00e8s avoir tent\u00e9 de se propager, le maliciel chiffre les fichiers\nlocaux de l'utilisateur en les ciblant en fonction de leur extension.\nCette \u00e9tape est assez longue et d\u00e9pend du volume de donn\u00e9es pr\u00e9sentes\nsur le disque. Une fois le chiffrement termin\u00e9, le logiciel malveillant\ncherche \u00e0 red\u00e9marrer la machine. En fonction des versions de Windows,\ncela se fera soit par le d\u00e9clenchement de la t\u00e2che planifi\u00e9e, soit en\nprovoquant une erreur qui d\u00e9bouchera sur un \u00e9cran bleu dit \"de la mort\".\n\nSelon le r\u00e9sultat des actions pr\u00e9c\u00e9dentes, la machine :\n\n- red\u00e9marrera normalement mais les fichiers seront inaccessibles\u00a0;\n- ne red\u00e9marrera pas\u00a0;\n- red\u00e9marrera avec un message affich\u00e9 indiquant qu'une v\u00e9rification de\n l'int\u00e9grit\u00e9 des disques est en cours.\n\nDans ce dernier cas, le maliciel chiffre la MFT (Master File Table). Il\ns'agit d'un index des fichiers et r\u00e9pertoires pr\u00e9sents sur le disque.\nCela a pour cons\u00e9quence de rendre inaccessibles les fichiers pr\u00e9sents\nsur la machine. Enfin, le maliciel s'installe \u00e0 la place du secteur de\nd\u00e9marrage de Windows afin d'afficher le message de ran\u00e7on. La cl\u00e9\nutilis\u00e9e pour chiffrer la MFT \u00e9tant d\u00e9truite dans le processus, il est\nimpossible d'obtenir son d\u00e9chiffrement m\u00eame en \u00e9change du paiement de la\nran\u00e7on.\n\n## R\u00e9sum\u00e9 des actions du maliciel\n\nLes diff\u00e9rentes actions entreprisent par le maliciel sont conditionn\u00e9s\npar plusieurs v\u00e9rifications au cours de son \u00e9xecution. Le tableau\nci-apr\u00e8s synth\u00e9tise les \u00e9v\u00e9nements en fonction du contexte d'\u00e9xecution\ndu logiciel malveillant, notamment les privil\u00e8ges dont dispose le\nprocessus, le type de secteur d'amor\u00e7age ou la pr\u00e9sence de logiciel\nantivirus.\n\n\u00a0\n\n