Rançongiciel

Le premier rançongiciel référencé est apparu en 1989 : PC Cyborg Trojan (en), codé par Joseph Popp, possédait une payload qui avertissait l'utilisateur qu'une certaine licence d'un certain logiciel aurait expiré, en chiffrant des fichiers sur le disque dur, et en demandant à l'utilisateur de payer 189 $ à la société « PC Cyborg Corporation » pour déverrouiller le système. Les chercheurs ont toutefois découvert que le chiffrement était réalisé symétriquement, ce qui signifie que la clé de chiffrement et de déchiffrement est la même. Et pour que le logiciel soit capable de chiffrer le contenu du disque dur, il faut dès lors qu’il transporte la clé sur lui. Un travail de rétro-ingénierie permet ainsi de retrouver et l’algorithme utilisé, et la clé. Popp a été déclaré psychologiquement irresponsable de ses actes, mais il a promis de donner les profits de ce logiciel malveillant à la recherche contre le SIDA[23]. L'idée d'introduire de la cryptographie asymétrique pour ce genre d'attaques a été émise par Adam L. Young et Moti Yung en 1996, qui a présenté une preuve de concept pour un virus cryptographique conçu contre les systèmes Macintosh SE/30, en utilisant les algorithmes RSA ou TEA. Young et Yung ont qualifié ce type d'attaques de « cryptovirus d'extorsion », une attaque non-dissimulée faisant partie de la plus grande famille de la cryptovirologie (en), qui inclut des attaques à la fois ouvertes et dissimulées[9]. D'autres occurrences de rançongiciels sont apparus en mai 2005 [24]. En juin 2006, des rançongiciels comme GPcode (en), TROJ.RANSOM.A, Archiveus (en), Krotten (en), Cryzip ou MayArchive ont commencé à utiliser des schémas de chiffrement RSA plus sophistiqués, notamment en augmentant la taille des clés de chiffrement. GPcode.AG, détecté en juin 2006, utilisait un schéma de chiffrement RSA à 660 bits[25]. En juin 2008, une nouvelle variante de cette souche virale connue sous le nom de GPcode.AK a été découverte. Elle utilisait une clé RSA à 1 024 bits, qui était considérée comme suffisamment grande pour être incassable sans utiliser une puissance de calcul considérable, concertée et distribuée[13] - [26] - [27] - [28].

Le rançongiciel introduit aussi des fichiers texte, html ou au format image contenant les instructions de paiement. Très souvent, la tentative de paiement se fait à travers des sites web hébergés sur le réseau TOR.

En mars 2016 sévit KeRanger, le premier rançongiciel visant les systèmes MacOSX. Ce dernier était proposé à l'installation à travers un faux popup de mise à jour du logiciel Transmission. Le certificat du développeur a été révoqué pour limiter la contagion[29].

C'est un logiciel qui tourne sous Windows et Android[30]. Ce type de rançongiciel se diffuse principalement via des courriels infectés, déguisés en factures UPS, FedEx ou de banques américaines[31]. Une fois activé, il chiffre les données personnelles de l'utilisateur via une clé RSA secrète – stockée sur des serveurs pirates – et demande une rançon (payable en bitcoins ou par des services externes comme GreenDot ou MoneyPack[32]) pour les rendre à nouveau accessibles. Le message d'alerte s'accompagne d'un compte à rebours de 72 ou 100 heures qui menace de supprimer les données si la rançon n'est pas payée. Une fois arrivé à zéro, il augmente en réalité fortement le montant de cette dernière.

En août 2010, les autorités russes ont arrêté dix pirates qui étaient reliés à WinLock, un rançongiciel qui affichait des images à caractère pornographique en demandant aux victimes d'envoyer un SMS surtaxé (d'environ 8 euros de surtaxe) pour recevoir un code permettant de déverrouiller leurs machines. Un grand nombre d'utilisateurs de Russie et de pays voisins a été affecté par ce virus, le montant du butin étant estimé à plus de 14 millions d'euros. Contrairement à ses prédécesseurs du type GPCode, WinLock n'utilisait pas de chiffrement mais seulement un programme plus simple demandant un code d'activation[17] - [33].

En 2011, un rançongiciel imitant la notification du Windows Product Activation ; qui informait l'utilisateur que son système d'exploitation Windows devait-être réactivé, car il aurait été piraté (victim of fraud). Une activation en ligne était proposée (comme la vraie procédure d'authentification), mais elle était indisponible. La victime devait alors appeler l'un des six numéros internationaux pour avoir un code à six chiffres. Le logiciel malveillant indiquait, à tort, que l'appel était gratuit. En réalité, il était routé via un opérateur pirate vers un pays avec un fort surcoût, qui mettait l'utilisateur en attente. Cela engendrait des coûts de communication très élevés[18].

Reveton

Informations

Environnement	Windows
Type	virus

En 2012, un nouveau rançongiciel important est apparu : il est connu sous le nom de « Reveton », ou encore « the Police Trojan ». Ce dernier se propageait par des publicités malicieuses (malvertising) qui visent à charger un Web Exploit sur l'ordinateur, sa charge active affiche un faux avertissement d'une autorité gouvernementale, signalant que l'ordinateur infecté serait utilisé à des fins illégales, comme du téléchargement de logiciels crackés[34]. Un pop-up informe l'utilisateur que pour déverrouiller son système, il doit acheter un coupon via un service de pré-paiement comme Ukash (en) ou Paysafecard. Pour accroitre l'illusion que l'ordinateur est surveillé par la police, le logiciel affiche aussi l'adresse IP de la machine, voire un aperçu de la webcam pour faire croire à la victime que la police enregistre son visage en temps réel[20] - [35].

D'autres variantes, plus spécifiques à la Grande-Bretagne, se revendiquaient d'émaner de la Metropolitan Police Service, de la SPRD (Société de Perception et de Répartition des Droits) PRS for Music (en) (qui accusait plus spécifiquement l'utilisateur de télécharger illégalement des musiques), ou de la division nationale de police pour la Cybercriminalité (Police National E-Crime Unit (en))[36] - [37]. En réponse à cette diffusion du virus, le Metropolitan Police Service a clairement expliqué qu'il ne bloquait jamais un ordinateur pour mener une enquête[20] - [16].

Reveton s'est répandu en Europe au début de l'année 2012[20]. En mai 2012, la division de détection de menaces de Trend Micro avait découvert des variantes du logiciel malveillant à destination des États-Unis et du Canada, ce qui laissait à penser que ses auteurs cherchaient à cibler des utilisateurs d'Amérique du Nord[38]. En août 2012, une nouvelle variante de Reveton est finalement apparue aux États-Unis, demandant une rançon de 200 dollars au FBI avec une carte de type MoneyPak (en)[35].

Par la suite, Reveton est aussi devenu un rançongiciel s'attaquant au navigateur web « BrowLock » (pour « Browser Locker »), le rançongiciel bloque la fermeture de la page par des popups incessantes. Cette nouvelle variante permet de toucher tous les systèmes d'exploitation. L'abandon de la diffusion de la version Trojan, pour la version Browlock coïncide avec l'arrêt du Web ExploitKit BlackHole. Enfin en 2015, Reveton s'est aussi attaqué aux téléphones et tablettes Android à travers la variante Koler.

Winwebsec est une catégorie de logiciels malveillants s'exécutant sur des plateformes Windows et produisant des pop-ups, en se revendiquant être un vrai logiciel antivirus. Leurs pop-ups proposent à l'utilisateur un scan de son système à la recherche de logiciels malveillants, puis affiche de faux résultats tels que « 32 Virus and Trojans Detected on your computer. Click on Fix Now button to clean these threats » (« 32 virus et chevaux de Troie ont été détectés sur votre ordinateur. Cliquez sur « Corriger maintenant » pour éliminer ces menaces »). Ensuite, un message est affiché pour demander à l'utilisateur de payer pour activer le logiciel, afin d'éliminer les hypothétiques menaces.

• REvil

• (fr+en) StopRansomware.fr
• Ransomware (rançongiciel) - Blocage d'un ordinateur ou smartphone sur service-public.fr