Le ransomware Wannacrypt n’a pas fini de faire parler de lui. A l’origine de l’attaque informatique d’une ampleur jamais vue, il est actuellement étudié par de nombreux spécialistes. Des chercheurs en cybersécurité de chez Proofpoint viennent de découvrir que l’affaire est en fait plus complexe. Ce ransomware ne serait pas tout seul, un autre malware nommé Adylkuzz serait actuellement l’outil d’une seconde attaque informatique.
Wannacrypt ne serait en réalité que la partie visible d’un Iceberg inquiétant. Un second logiciel malveillant vient d’être identifié comme une importante source d’infection pour de nombreux ordinateurs. Adylkuzz a été repéré en raison d’un fonctionnement exploitant la même faille de Windows que Wannacrypt.
Dans un communiqué Proofpoint explique que si l’objectif reste le même, gagner de l’argent, le mode opératoire est très différent. A l’aide d’un logiciel mineur cryptodynamique sur les systèmes infectés, l’infection se veut silencieuse, de quoi limiter la détection. Ryan Kalember de chez Proofpoint souligne
« Bien que plus silencieuse et sans interface utilisateur, l’attaque d’Adylkuzz est plus rentable pour les cybercriminels […] Elle transforme les utilisateurs infectés en participants involontaires au financement de leurs assaillants ».
Le vice-président Produit chez Proofpoint indique que l’attaque est susceptible d’être de bien plus grande envergure que celle WannaCry. Elle aurait débuté le 2 mai dernier voire le 24 avril.
Adylkuzz, l’ordinateur est infecté pour produire de la monnaie virtuelle
Ce “malware” exploite les ressources d’un PC pour créer des unités d’une monnaie virtuelle. Similaire au Bitcoin, elle se nomme le Monero. Le Monero a l’avantage de garantir un important anonymat en exploitant des transactions chiffrées. Ceci explique peut-être son adoption par certains marchés peu recommandables comme l’AlphaBay sur le Darknet ou il est possible de trouver de la contrefaçon, des drogues ou encore des cartes de crédit volées.
Monero (XMR) est une crypto-monnaie open source axée sur la vie privée et la décentralisation créée en avril 2014.
Proofpoint note par contre que cette attaque protège les ordinateurs infectés des autres logiciels malveillants en bloquant le SMB. Du coup la présence d’Adylkuzz ne serait pas compatible avec celle de WannaCry. Ceci aurait peut-être permis de limiter sa propagation.
Les pirates, derrière Adylkuzz, recherchent au travers du Web des ordinateurs vulnérables au travers de cette faille zero day de Windows. Une fois repérée, une tactique d’infection est lancée afin d’installer ce mineur cryptodynamique “Adylkuzz”.
L’opération semble très juteuse. Ce réseau d’ordinateurs infectés serait capable de produire actuellement des sommes virtuelles à cinq chiffres chaque jour.
