{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cp\u003eTous les syst\u00e8mes d\u0027exploitation  Windows peuvent \u00eatre victimes de ce logiciel malveillant.\u003c/p\u003e",
  "closed_at": "2017-06-27",
  "content": "## Vecteurs d\u0027infection\n\nLe vecteur d\u0027infection initial est un courriel avec une pi\u00e8ce jointe\nmalveillante de type PDF.\n\n## Solution\n\n## Mesures pr\u00e9ventives\n\nLe CERT-FR recommande de sensibiliser les utilisateurs aux risques\nassoci\u00e9s aux messages \u00e9lectroniques pour \u00e9viter l\u0027ouverture de pi\u00e8ces\njointes. Il convient en effet de ne pas cliquer sans v\u00e9rification\npr\u00e9alable sur les liens de messages et les pi\u00e8ces jointes. Les\nutilisateurs ne doivent pas ouvrir des messages \u00e9lectroniques de\nprovenance inconnue, d\u0027apparence inhabituelle ou frauduleuse. Plus\ng\u00e9n\u00e9ralement, il convient de mettre \u00e0 jour les postes utilisateurs,\nnotamment le syst\u00e8me d\u0027exploitation et les applications expos\u00e9es sur\nInternet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans\nle cas o\u00f9 le code malveillant (ou une variante) exploiterait une\nvuln\u00e9rabilit\u00e9 logicielle.\n\nLe CERT-FR recommande de configurer sur les postes de travail les\nrestrictions logicielles pour emp\u00eacher l\u0027ex\u00e9cution de code \u00e0 partir\nd\u0027une liste noire de r\u00e9pertoires :\n\n-   Si la solution utilis\u00e9e est AppLocker, les r\u00e8gles de blocage\n    suivantes doivent \u00eatre d\u00e9finies :\n    -   OSDRIVE\\\\Users\\\\\\*\\\\AppData\\\\\n    -   OSDRIVE\\\\Windows\\\\Temp\\\\\n-   Si les restrictions logicielles (SRP) sont utilis\u00e9es, les r\u00e8gles de\n    blocage suivantes doivent \u00eatre d\u00e9finies :\n    -   UserProfile\\\\AppData\n    -   SystemRoot\\\\Temp\n\nIl est important de v\u00e9rifier que le service \"Application Identity\"\n(AppIDSvc) est param\u00e9tr\u00e9 en d\u00e9marrage automatique sur l\u0027ensemble des\npostes pour que les restrictions logicielles soient op\u00e9rantes (ce mode\nde d\u00e9marrage peut \u00eatre param\u00e9tr\u00e9 \u00e0 travers une politique de groupe sur\nle domaine Windows). Si des dysfonctionnements sont rencontr\u00e9s suite au\nd\u00e9ploiement de ces r\u00e8gles de blocage, il est n\u00e9cessaire d\u0027identifier les\napplications l\u00e9gitimes situ\u00e9es dans ces r\u00e9pertoires, et de d\u00e9finir des\nr\u00e8gles en liste blanche afin d\u0027autoriser leur ex\u00e9cution.\n\nLe CERT-FR recommande \u00e9galement de mettre \u00e0 jour les logiciels antivirus\ndu parc informatique (postes utilisateurs, passerelle de messagerie,\netc.). Le code malveillant \u00e9tant polymorphe, les \u00e9diteurs antivirus ont\nbesoin de publier des signatures en constante \u00e9volution. Par ailleurs,\nil convient d\u0027envoyer d\u00e8s que possible un exemplaire du code malveillant\n\u00e0 votre \u00e9diteur de logiciel antivirus si la variante n\u0027est pas d\u00e9tect\u00e9e\npar ce dernier.\n\nEnfin, le CERT-FR recommande d\u0027effectuer des sauvegardes saines et\nr\u00e9guli\u00e8res des syst\u00e8mes et des donn\u00e9es (postes de travail, serveurs)\npuis de v\u00e9rifier qu\u0027elles se sont correctement d\u00e9roul\u00e9es. Les\nsauvegardes ant\u00e9rieures ne doivent pas \u00eatre \u00e9cras\u00e9es (cas o\u00f9 une version\nchiffr\u00e9e aurait \u00e9t\u00e9 sauvegard\u00e9e). Les sauvegardes doivent \u00eatre r\u00e9alis\u00e9es\nen priorit\u00e9 sur les serveurs h\u00e9bergeant des donn\u00e9es critiques pour le\nfonctionnement de l\u0027entit\u00e9. Celles-ci doivent \u00eatre stock\u00e9es sur des\nsupports de donn\u00e9es isol\u00e9s du r\u00e9seau en production.\n\n## Mesures r\u00e9actives\n\nSi le code malveillant est d\u00e9couvert sur vos syst\u00e8mes, le CERT-FR\nrecommande de d\u00e9connecter imm\u00e9diatement du r\u00e9seau les machines\nidentifi\u00e9es comme compromises. L\u0027objectif est de bloquer la poursuite du\nchiffrement et la destruction des documents partag\u00e9s. Le CERT-FR\nrecommande aussi d\u0027alerter le responsable s\u00e9curit\u00e9 ou le service\ninformatique au plus t\u00f4t. Le temps de revenir \u00e0 une situation normale,\nle CERT-FR recommande \u00e9galement de positionner les permissions des\ndossiers partag\u00e9s en LECTURE SEULE afin d\u0027emp\u00eacher la destruction des\nfichiers sur les partages. Les personnels pourront continuer de\ntravailler localement et mettre \u00e0 jour ult\u00e9rieurement le partage. Aussi,\nle CERT-FR recommande de prendre le temps de sauvegarder les fichiers\nimportants sur des supports de donn\u00e9es isol\u00e9s. Ces fichiers peuvent \u00eatre\nalt\u00e9r\u00e9s ou encore \u00eatre infect\u00e9s. Il convient donc de les traiter comme\ntels. De plus, les sauvegardes ant\u00e9rieures doivent \u00eatre pr\u00e9serv\u00e9es\nd\u0027\u00e9crasement par des sauvegardes plus r\u00e9centes.\n\nLe CERT-FR recommande \u00e9galement de bloquer sur le serveur mandataire\nl\u0027acc\u00e8s aux domaines ou URLs identifi\u00e9s dans le message malveillant.\nL\u0027objectif est de pr\u00e9venir toute nouvelle compromission sur le m\u00eame\nsite. En compl\u00e9ment, le CERT-FR recommande de rechercher et supprimer\nles messages malveillants similaires dans les bo\u00eetes de messagerie des\nutilisateurs. Par ailleurs, le CERT-FR recommande la r\u00e9installation\ncompl\u00e8te du poste et la restauration d\u0027une sauvegarde r\u00e9put\u00e9e saine des\ndonn\u00e9es de l\u0027utilisateur. De plus, dans le cadre de l\u0027utilisation de\nprofils itin\u00e9rants, il convient de supprimer la copie serveur du profil\nafin de pr\u00e9venir la propagation des codes malveillants par ce biais.\n\nEnfin, les fichiers chiffr\u00e9s peuvent \u00eatre conserv\u00e9s par la victime au\ncas o\u00f9 dans le futur, un moyen de recouvrement des donn\u00e9es originales\nserait d\u00e9couvert.\n\nCette alerte sera maintenue tant que le volume de message \u00e9lectronique\nconstat\u00e9 sera consid\u00e9r\u00e9 significatif par le CERT-FR.\n",
  "cves": [],
  "links": [
    {
      "title": "Indicateurs de compromission identifi\u00e9s par l\u0027\u00e9diteur Talos  :",
      "url": "https://alln-extcloud-storage.cisco.com/ciscoblogs/jaff-domains-unique.txt"
    }
  ],
  "reference": "CERTFR-2017-ALE-011",
  "revisions": [
    {
      "description": "version initiale ;",
      "revision_date": "2017-05-14T00:00:00.000000"
    },
    {
      "description": "cloture de l\u0027alerte ;",
      "revision_date": "2017-06-27T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Non sp\u00e9cifi\u00e9 par l\u0027\u00e9diteur"
    }
  ],
  "summary": "Depuis le 11 mai 2017, le CERT-FR constate une nouvelle campagne de\ncourriels malveillants contenant des pi\u00e8ces jointes au format PDF. Ce\nPDF contient un document embarqu\u00e9 au format DOCM contenant lui-m\u00eame une\nmacro malveillante lan\u00e7ant le t\u00e9l\u00e9chargement puis l\u0027ex\u00e9cution du\nran\u00e7ongiciel Jaff. Dans le cadre de cette campagne, et d\u0027apr\u00e8s les\n\u00e9chantillons que le CERT-FR a observ\u00e9s, les URLs de t\u00e9l\u00e9chargement du\nran\u00e7ongiciel Jaff se terminent avec les motifs suivants :\n\n-   /f87346b\n-   /77g643\n\nCes motifs peuvent donc \u00eatre utilis\u00e9s comme m\u00e9thode de d\u00e9tection et/ou\nde blocage, dans la mesure des capacit\u00e9s techniques disponibles. Par\nailleurs, plusieurs \u00e9diteurs ont d\u00e9j\u00e0 publi\u00e9 des indicateurs de\ncompromission qui peuvent \u00eatre utilis\u00e9s afin de d\u00e9tecter Jaff.\n\nLe CERT-FR attire l\u0027attention sur le fait que cette campagne de\ndistribution du ran\u00e7ongiciel Jaff n\u0027est pas li\u00e9e \u00e0 celle du ran\u00e7ongiciel\nWannacry dont le vecteur d\u0027infection initial n\u0027est toujours pas\nconfirm\u00e9.\n",
  "title": "Campagne de messages \u00e9lectroniques non sollicit\u00e9s de type Jaff",
  "vendor_advisories": []
}