{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003eTous les syst\u00e8mes d\u0027exploitations Windows peuvent \u00eatre  victimes de ce logiciel malveillant.\u003c/P\u003e",
  "closed_at": "2016-03-10",
  "content": "## Solution\n\n## Solutions pr\u00e9ventives\n\nLe CERT-FR recommande de sensibiliser les utilisateurs aux risques\nassoci\u00e9s aux messages \u00e9lectroniques pour \u00e9viter l\u0027ouverture de pi\u00e8ces\njointes. Il convient en effet de ne pas cliquer sans v\u00e9rification\npr\u00e9alable sur les liens de messages et les pi\u00e8ces jointes. Les\nutilisateurs ne doivent pas ouvrir des messages \u00e9lectroniques de\nprovenance inconnue, d\u0027apparence inhabituelle ou frauduleuse. Plus\ng\u00e9n\u00e9ralement, il convient de mettre \u00e0 jour les postes utilisateurs,\nnotamment le syst\u00e8me d\u0027exploitation et les applications expos\u00e9es sur\nInternet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans\nle cas o\u00f9 le code malveillant (ou une variante) exploiterait une\nvuln\u00e9rabilit\u00e9 logicielle.\n\nLe CERT-FR recommande de configurer sur les postes de travail les\nrestrictions logicielles pour emp\u00eacher l\u0027ex\u00e9cution de code \u00e0 partir\nd\u0027une liste noire de r\u00e9pertoires :\n\n-   Si la solution utilis\u00e9e est AppLocker, les r\u00e8gles de blocage\n    suivantes doivent \u00eatre d\u00e9finies :\n    -   OSDRIVE\\\\Users\\\\\\*\\\\AppData\\\\\n    -   OSDRIVE\\\\Windows\\\\Temp\\\\\n-   Si les restrictions logicielles (SRP) sont utilis\u00e9es, les r\u00e8gles de\n    blocage suivantes doivent \u00eatre d\u00e9finies :\n    -   UserProfile\\\\AppData\n    -   SystemRoot\\\\Temp\n\nIl est important de v\u00e9rifier que le service \"Application Identity\"\n(AppIDSvc) est param\u00e9tr\u00e9 en d\u00e9marrage automatique sur l\u0027ensemble des\npostes pour que les restrictions logicielles soient op\u00e9rantes (ce mode\nde d\u00e9marrage peut \u00eatre param\u00e9tr\u00e9 \u00e0 travers une politique de groupe sur\nle domaine Windows). Si des dysfonctionnements sont rencontr\u00e9s suite au\nd\u00e9ploiement de ces r\u00e8gles de blocage, il est n\u00e9cessaire d\u0027identifier les\napplications l\u00e9gitimes situ\u00e9es dans ces r\u00e9pertoires, et de d\u00e9finir des\nr\u00e8gles en liste blanche afin d\u0027autoriser leur ex\u00e9cution.\n\nLe CERT-FR recommande \u00e9galement de mettre \u00e0 jour les logiciels antivirus\ndu parc informatique (postes utilisateurs, passerelle de messagerie,\netc.). Le code malveillant \u00e9tant polymorphe, les \u00e9diteurs antivirus ont\nbesoin de publier des signatures en constante \u00e9volution. Par ailleurs,\nil convient d\u0027envoyer d\u00e8s que possible un exemplaire du code malveillant\n\u00e0 votre \u00e9diteur de logiciel antivirus si la variante n\u0027est pas d\u00e9tect\u00e9e\npar ce dernier.\n\nEnfin, le CERT-FR recommande d\u0027effectuer des sauvegardes saines et\nr\u00e9guli\u00e8res des syst\u00e8mes et des donn\u00e9es (postes de travail, serveurs)\npuis de v\u00e9rifier qu\u0027elles se sont correctement d\u00e9roul\u00e9es. Les\nsauvegardes ant\u00e9rieures ne doivent pas \u00eatre \u00e9cras\u00e9es (cas o\u00f9 une version\nchiffr\u00e9e aurait \u00e9t\u00e9 sauvegard\u00e9e). Les sauvegardes doivent \u00eatre r\u00e9alis\u00e9es\nen priorit\u00e9 sur les serveurs h\u00e9bergeant des donn\u00e9es critiques pour le\nfonctionnement de l\u0027entit\u00e9. Celles-ci doivent \u00eatre stock\u00e9es sur des\nsupports de donn\u00e9es isol\u00e9s du r\u00e9seau en production.\n\n## Solutions r\u00e9actives\n\nSi le code malveillant est d\u00e9couvert sur vos syst\u00e8mes, le CERT-FR\nrecommande de d\u00e9connecter imm\u00e9diatement du r\u00e9seau les machines\nidentifi\u00e9es comme compromises. L\u0027objectif est de bloquer la poursuite du\nchiffrement et la destruction des documents partag\u00e9s. Le CERT-FR\nrecommande aussi d\u0027alerter le responsable s\u00e9curit\u00e9 ou le service\ninformatique au plus t\u00f4t. Le temps de revenir \u00e0 une situation normale,\nle CERT-FR recommande \u00e9galement de positionner les permissions des\ndossiers partag\u00e9s en LECTURE SEULE afin d\u0027emp\u00eacher la destruction des\nfichiers sur les partages. Les personnels pourront continuer de\ntravailler localement et mettre \u00e0 jour ult\u00e9rieurement le partage. Aussi,\nle CERT-FR recommande de prendre le temps de sauvegarder les fichiers\nimportants sur des supports de donn\u00e9es isol\u00e9s. Ces fichiers peuvent \u00eatre\nalt\u00e9r\u00e9s ou encore \u00eatre infect\u00e9s. Il convient donc de les traiter comme\ntels. De plus, les sauvegardes ant\u00e9rieures doivent \u00eatre pr\u00e9serv\u00e9es\nd\u0027\u00e9crasement par des sauvegardes plus r\u00e9centes.\n\nLe CERT-FR recommande \u00e9galement de bloquer sur le serveur mandataire\nl\u0027acc\u00e8s aux domaines ou URLs identifi\u00e9s dans le message malveillant.\nL\u0027objectif est de pr\u00e9venir toute nouvelle compromission sur le m\u00eame\nsite. En compl\u00e9ment, le CERT-FR recommande de rechercher et supprimer\nles messages malveillants similaires dans les bo\u00eetes de messagerie des\nutilisateurs. Par ailleurs, le CERT-FR recommande la r\u00e9installation\ncompl\u00e8te du poste et la restauration d\u0027une sauvegarde r\u00e9put\u00e9e saine des\ndonn\u00e9es de l\u0027utilisateur. De plus, dans le cadre de l\u0027utilisation de\nprofils itin\u00e9rants, il convient de supprimer la copie serveur du profil\nafin de pr\u00e9venir la propagation des codes malveillants par ce biais.\n\nEnfin, les fichiers chiffr\u00e9s peuvent \u00eatre conserv\u00e9s par la victime au\ncas o\u00f9 dans le futur, un moyen de recouvrement des donn\u00e9es originales\nserait d\u00e9couvert. Sur ce point, il est int\u00e9ressant de noter que le\nd\u00e9chiffrement des fichiers impact\u00e9s par la version de TeslaCrypt\nutilis\u00e9e lors de cette campagne semble, dans certains, cas envisageable.\nEn effet, un projet comme TeslaCrack peut s\u0027av\u00e8rer efficace mais\nn\u00e9cessite plusieurs \u00e9tapes de mise en oeuvre (r\u00e9cup\u00e9ration de\nd\u00e9pendances, compilations, ...) mais aussi obligatoirement une \u00e9tape\nd\u0027initialisation (factorisation) qui peut \u00eatre tr\u00e8s co\u00fbteuse en temps\nd\u0027ex\u00e9cution.\n\nCette alerte sera maintenue tant que le volume de message \u00e9lectronique\nconstat\u00e9 sera consid\u00e9r\u00e9 significatif par le CERT-FR.\n",
  "cves": [],
  "links": [
    {
      "title": "Projet TeslaCrack",
      "url": "https://github.com/Googulator/TeslaCrack"
    }
  ],
  "reference": "CERTFR-2015-ALE-015",
  "revisions": [
    {
      "description": "version initiale ;",
      "revision_date": "2015-12-21T00:00:00.000000"
    },
    {
      "description": "ajout de marqueurs suppl\u00e9mentaires ;",
      "revision_date": "2015-12-31T00:00:00.000000"
    },
    {
      "description": "mise \u00e0 jour des mesures r\u00e9actives ;",
      "revision_date": "2016-01-15T00:00:00.000000"
    },
    {
      "description": "cl\u00f4ture de l\u0027alerte ;",
      "revision_date": "2016-03-10T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Installation d\u0027un logiciel malveillant de type teslacrypt"
    }
  ],
  "summary": "Depuis le d\u00e9but du mois de d\u00e9cembre 2015, et plus massivement depuis la\nmi-d\u00e9cembre 2015, le CERT-FR constate \u00e0 l\u0027\u00e9chelle nationale une vague de\npourriels dont le taux de blocage par les passerelles anti-pourriel est\nrelativement faible. Ces pourriels ont pour objectif la diffusion du\nran\u00e7ongiciel TeslaCrypt.\n\nUn ran\u00e7ongiciel est un programme malveillant qui chiffre les donn\u00e9es du\nposte compromis. Il va \u00e9galement cibler les partages de fichiers\naccessibles depuis le compte utilisateur dont la session est compromise.\nCelui-ci est ex\u00e9cut\u00e9, dans le cas pr\u00e9sent, par une action de\nl\u0027utilisateur. La victime est ensuite invit\u00e9e \u00e0 verser de l\u0027argent afin\nque l\u0027attaquant d\u00e9chiffre les fichiers cibl\u00e9s.\n\nDans le cadre de cette campagne, et d\u0027apr\u00e8s les \u00e9chantillons que le\nCERT-FR a observ\u00e9s, la diffusion de TeslaCrypt s\u0027effectue par\nl\u0027interm\u00e9diaire d\u0027un pourriel dans lequel se trouve une pi\u00e8ce jointe au\nformat zip. Cette archive contient un fichier offusqu\u00e9 au format js\n(javascript) dont l\u0027objectif est la r\u00e9cup\u00e9ration puis l\u0027ex\u00e9cution du\nmalware. L\u0027ex\u00e9cution de ce dernier entraine le chiffrement des donn\u00e9es\net les fichiers sont renomm\u00e9s avec l\u0027extension \".vvv\".\n\nIl est int\u00e9ressant de noter que le binaire est jusqu\u0027\u00e0 pr\u00e9sent compos\u00e9\nde deux chiffres et de l\u0027extension \".exe\". Cette caract\u00e9ristique peut\npermettre le blocage ou la mise en place d\u0027alertes via les serveurs\nmandataires.\n\n\u00c0 l\u0027aide les \u00e9chantillons remont\u00e9s, le CERT-FR a constat\u00e9 que les URLs\nde t\u00e9l\u00e9chargement du binaire TeslaCrypt sont les suivantes (toutes les\nURLs suivantes ont \u00e9t\u00e9 d\u00e9militaris\u00e9es par l\u0027adjonction du suffixe\n.\\_BAD\\_ aux noms de domaines et adresses IP) :\n\n-   http://5.39.222.193_BAD\\_/73.exe\n-   http://46.151.52.196_BAD\\_/80.exe\n-   http://46.151.52.196_BAD\\_/86.exe\n-   http://46.151.52.197_BAD\\_/73.exe\n-   http://46.151.52.197_BAD\\_/80.exe\n-   http://46.151.52.197_BAD\\_/85.exe\n-   http://46.151.52.197_BAD\\_/86.exe\n-   http://46.151.52.231_BAD\\_/87.exe\n-   http://74.117.183.84_BAD\\_/73.exe\n-   http://777advisors.com_BAD\\_/85.exe\n-   http://aawraa.com_BAD\\_/wp-includes/theme-compat/73.exe\n-   http://avtimespg.com_BAD\\_/73.exe\n-   http://abortoptions.com_BAD\\_/wp-includes/images/smilies/85.exe\n-   http://aboutacquisitions.com_BAD\\_/wp-includes/theme-compat/85.exe\n-   http://acabadosintegrales.com_BAD\\_/wp-includes/js/mediaelement/73.exe\n-   http://achesoncorner.com_BAD\\_/wp-includes/fonts/73.exe\n-   http://acsbrokerage.com_BAD\\_/css/fonts/\\_\\_pages_sources/85.exe\n-   http://actuvillage.com_BAD\\_/images/thumbs/73.exe\n-   http://areyouwevenlisten.com_BAD\\_/73.exe\n-   http://artskorat.com_BAD\\_/html/images/80.exe\n-   http://auctorit.com_BAD\\_/beta/js/73.exe\n-   http://aycenergy.com_BAD\\_/wp/wp-includes/fonts/80.exe\n-   http://autocraftmedia.com_BAD\\_/mappalachian/tmp/73.exe\n-   http://babykucomel.com_BAD\\_/wp-admin/js/73.exe\n-   http://balwindersingh.in_BAD\\_/bsdemo/js/73.exe\n-   http://baneyconstruction.com_BAD\\_/kldf/cachec50da2243ebb9d634cfad3427cafcc61/73.exe\n-   http://bareknucklebabes.com_BAD\\_/wp-admin/maint/73.exe\n-   http://bauelementeberater.info_BAD\\_/73.exe\n-   http://beandbecomeadvising.com_BAD\\_/wp-admin/maint/73.exe\n-   http://beatifulgdf9dr.com_BAD\\_/73.exe\n-   http://bellychef.com_BAD\\_/wp-includes/theme-compat/73.exe\n-   http://bereanbibledenver.com_BAD\\_/wp-admin/js/73.exe\n-   http://bestsurfinglessons.com_BAD\\_/wp-includes/theme-compat/73.exe\n-   http://betterhealth4us.com_BAD\\_/wp-includes/fonts/73.exe\n-   http://bfcaterers.com_BAD\\_/wp-includes/certificates/73.exe\n-   http://fernytowd.com_BAD\\_/73.exe\n-   http://fernytowd.com_BAD\\_/80.exe\n-   http://firstwetakemanhat.com_BAD\\_/80.exe\n-   http://firstwetakemanhat.com_BAD\\_/91.exe\n-   http://gammus.com_BAD\\_/69.exe\n-   http://gammus.com_BAD\\_/73.exe\n-   http://goonricerwiththat.com_BAD\\_/69.exe\n-   http://goonricerwiththat.com_BAD\\_/80.exe\n-   http://hopemillsglassco.com_BAD\\_/wp-includes/fonts/85.exe\n-   http://iamthewinnerhere.com_BAD\\_/73.exe\n-   http://iamthewinnerhere.com_BAD\\_/80.exe\n-   http://iamthewinnerhere.com_BAD\\_/97.exe\n-   http://ifyougowegotoo.com_BAD\\_/90.exe\n-   http://ifyougowegotoo.com_BAD\\_/94.exe\n-   http://igonnafuckyougood.com_BAD\\_/73.exe\n-   http://igonnafuckyougood.com_BAD\\_/80.exe\n-   http://miracleworld1.com_BAD\\_/80.exe\n-   http://miracleworld1.com_BAD\\_/91.exe\n-   http://prestakitchen.com_BAD\\_/wp-includes/pomo/85.exe\n-   http://soft2webextrain.com_BAD\\_/87.exe\n-   http://softextrain64.com_BAD\\_/80.exe\n-   http://softextrain64.com_BAD\\_/86.exe\n-   http://soughreneg.com_BAD\\_/93.exe\n-   http://soughreneg.com_BAD\\_/94.exe\n-   http://washawaydesctrucion.com_BAD\\_/90.exe\n-   http://whatdidyaysay.com_BAD\\_/73.exe\n-   http://whatdidyaysay.com_BAD\\_/80.exe\n-   http://whatdidyaysay.com_BAD\\_/97.exe\n",
  "title": "Campagne de messages \u00e9lectroniques non sollicit\u00e9s de type TeslaCrypt",
  "vendor_advisories": []
}