Un virus réussi à contourner les antivirus sur Windows

Récemment, il a été découvert par des chercheurs en sécurité informatique un programme malveillant de type rançongiciel.

Il a la particularité de s’installer en prenant la forme d’un service Windows. Si l’installation réussi, il provoque un redémarrage de l’ordinateur en mode sans échec. ce qui aura pour conséquence immédiate de désactiver tous les programmes de protection. Par la suite, il fait ce pourquoi il a été créé. Prendre en otage les données du terminal qu’il a infecté. Effectivement en temps que ransomware, il va procéder au chiffrement des données empêchant Ainsi l’utilisateur principal d’y accéder. Ce programme a été dénommé « Snatch ».

Cet article va aussi vous intéresser : Windows et les ransonwares : Plus difficile de lutter contre les logiciels de rançonnage

« Snatch » est un rançongiciel qui a la faculté exceptionnelle d’échapper aux antivirus. Comment cela est-il possible ? En tenant compte de ce qui a été observé, on s’est aperçu que ce programme malveillant prenait la forme d’un programme dans le registre de Windows. Il va revêtir la forme d’un logiciel de sauvegarde qui prend la dénomination « SuperBackupMan ». On verra même un texte de description qui indiquera ceci : « Ce service fait des sauvegardes tous les jours » .

Alors une fois en position, il va provoquer le démarrage en mode sans échec comme nous l’avons expliqué plus haut. Le truc dans ce procédé, le redémarrage en mode sans échec ne permet de lancer qu’un minimum d’application. Ce qui va exclure bien sur les antivirus. Cependant le fameux programme de sauvegarde fictif « SuperBackupMan » lui sera toujours lancé, chose étrange d’ailleurs, mais normal dans un sens. Ce qui va empêcher les antivirus de détecter le processus de chiffrement qui sera lancé par le programme malveillant une fois le démarrage réalisé. C’est peut-être une bonne nouvelle, mais ce procédé très sophistiqué n’a pas encore été observé chez d’autres programme du même type.

Par ailleurs, les cybercriminels qui opèrent avec ce programme malveillant sont, il faut l’avouer de véritables professionnels. Dans la pratique, il semblerait qu’ils ont pour cible principal des entreprises. Le programme alors ne sera activé un long moment d’observation et d’analyse des systèmes de leur victime. les pirates prennent la peine d’observer et d’identifier l’ensemble des équipements qu’ils pourront facilement atteindre peau fragilisé plus facilement l’ensemble du réseau informatique de leur cible.

L’exemple a été observé dans une entreprise Internationale qui s’est fait infecter plus de 200 machines, ce qui équivaut à 5 % de son parc informatique. Une fois leur coup réussi, la rançon a été exigé à hauteur de 35 000 dollars. Mais il a été observé des cas où la rançon était beaucoup moins élevée. Apparemment plusieurs douzaines d’entreprises ont été victimes déjà de ce virus informatique observer entre le mois de juillet et octobre de cette année.

Selon certaines sources, les pirates informatiques qui sont les éditeurs du virus

« Snatch » seraient d’origine russe. Cela est supposé par le fait qu’ils utilisent cette langue pour échanger sur les forums des discussions. pour réussir à pénétrer en amont le système de leur victime et implanté le programme, il semblerait qu’il utilise la technique de la force brute. ils ont réussi une fois à casser le mot le passe d’un administrateur du service cloud de Microsoft.

Concernant la vulnérabilité qu’exploite le virus Snatch, on espère que Microsoft on verra vite un correctif a proposé le Patch tuesday en janvier 2020.

Accédez maintenant à un nombre illimité de mot de passe :