Un nouveau ransomware frappe actuellement les utilisateurs peu scrupuleux de Mac. « Patcher » ressemble ainsi à un crack pour Premiere Pro ou Office, mais cache en réalité un malware qui va chiffrer le contenu du disque. Malheureusement, il n’est même pas équipé d’un mécanisme de déverrouillage.
Patcher ressemble donc à un bon vieux crack, c’est-à-dire un petit programme se proposant d’activer des logiciels sans en avoir la licence authentique. Dans le cas présent, il vise particulièrement la suite Office de Microsoft et le logiciel de montage Premier Pro d’Adobe. La promesse est bien ancienne : utiliser ces logiciels sans avoir à payer. Bien mal en prendra à l’utilisateur.
Le crack pour logiciel, une vieille recette
Le ransomware se présente initialement sous la forme d’un fichier Zip contenant deux « patchs », un pour chaque logiciel. En lancer un ouvrira une fenêtre sans fond – qui devrait déjà être une alerte en soi – et présente simplement un petit texte explicatif, accompagné d’un bouton Start. Cliquer sur ce dernier ne modifie en rien l’installation du logiciel, mais lance par contre un processus de chiffrement pour toutes les données personnelles présentes dans le disque.
Patcher crée une clé de 25 caractères de long qu’il va utiliser pour l’ensemble des fichiers (la même pour tous). Il place dans chaque dossier personnel (Documents, Images…) un fichier README expliquant en anglais la situation. Elle est simple : si l’utilisateur veut revoir ses données, il doit payer 0,25 bitcoin à l’adresse indiquée (près de 270 euros aujourd'hui).
Le ransomware ne communique avec personne
Cependant, comme l’explique ESET, la situation est nettement plus compliquée, car personne ne peut déchiffrer les données, pas même l’auteur du ransomware. Pourquoi ? Parce que Patcher ne contient pas la moindre ligne de code lui permettant de communiquer avec un serveur C&C (command-and-control). Dès lors, le ou les pirates ne sont même pas avertis que le malware a rempli sa sinistre mission, et ne peuvent donc pas envoyer la précieuse clé.
ESET estime que le malware n’est globalement pas une merveille, l’éditeur parlant de mauvais code. Le fait qu’aucun lien avec un serveur C&C ne soit présent en dit long selon l’entreprise sur la compétence de ceux qui ont créé Patcher, ou en tout cas cette version. Cela étant, le malware reste dangereux, et ce d’autant plus qu’il est impossible de récupérer la clé. Sa taille – 25 caractères – la rend en effet trop résistante aux attaques par force brute.
La méfiance reste donc de mise, comme globalement tout ce qui « paraît trop beau pour être vrai ». Ce type de menace est finalement très courant, et même si les systèmes d’exploitation disposent de protections plus avancées, il suffit d’amener l’utilisateur à cliquer au bon endroit et à accorder les droits quand ils sont demandés.
Commentaires (83)
#1
It’s not a bug, it’s a feature.
#2
Faut tout racheter!!!
Programmed by Steve Jobs
#3
C’est peut être juste pour emmerder…
" />
Un pro Microsoft qui en avait marre qu’on lui dise que seul Windows peut se faire véroler ?
#4
c’est un ransomware bon marché : il est pas tcher …
#5
Tant que les 0.25BTC sont dans la poche, c’est le plus important, le reste est secondaire.
#6
Un clé de 25 caractères ne me parait vraiment pas si délicate que ça à casser, surtout si on a un gros fichier dont on a une copie (fichier système ou installeur d’application par exemple).
#7
Ça doit être volontaire. Pourquoi rajouter un moyen supplémentaire de se faire tracker ? Une fois que l’argent est empoché, peu importe le reste de toutes façon.
#8
“but it works very well on VirtualBox !!!”
lordmaster1337, hacker since January 25, 2017.
#9
#10
+1.
Pour moi un tel programme est suffisant. Le type lambda qui tombe dans le panneau risque de trouver que 270€ pour sauvegarder son super PPT du boulot super confidentiel n’est pas si cher payé pour conserver son poste. Il ne va pas forcément lire sur le net que c’est une arnaque.
Ca simplifie la tâche, ça évite de devoir se taper un serveur, un moyen de sécuriser la communication avec celui-ci, le risque de se faire tracer etc. Suffit d’un porte feuille bitcoin tout à fait anonyme…
#11
Michael l’avait prédit !!!
" />
(Patcher)
#12
0,25 bitcoin , c’est patcher !
" />
#13
Arretez les jeux de mots pourris, vous êtes patcher mémé ici.
#14
Je plussoie, dès lors qu’il y a suffisamment de gens qui tombent dans le piège et payent, pourquoi s’emmerder à coder ce qu’il faut pour communiquer avec un serveur qu’il faudra en plus administrer (du moins si on veut effectivement être « honnête » et déchiffrer les fichiers pour ceux-là) ?
#15
#16
tout simplement parce que si les victimes apprennent que de toute façon les données ne sont pas récupérables, je doute qu’ils continuent tous à payer la rançon
" />
#17
Il en restera toujours qui ne seront pas au courant / ne prendront pas la peine de se renseigner.
Et puis j’imagine qu’avoir un serveur qui répond derrière, ça augmente sans doute le risque que quelqu’un remonte la piste.
#18
#19
#20
#21
Oui évidemment
" />
#22
#23
si l’utilisateur veut revoir ses données, il doit payer 0,25 bitcoin à l’adresse indiquée (près de 270 euros aujourd’hui).
Si cela m’arrivait, je serais bien embêté : je ne sais absolument pas comment payer en bitcoin
#24
Mais du coup, pourquoi s’emmerder à coder un chiffrement des données plutôt que de simplement tout supprimer ?
#25
#26
#27
Il y a des ransomwares qui incluent un guide très bien fait expliquant ce qu’est le chiffrement, le bitcoin, comment en acheter et comment faire un versement. Le support à la clientèle, c’est important!
#28
Pour la même raison qu’un preneur d’otage essaie de garder ses otages vivants : c’est plus dur de négocier si tu ne laisse pas à ta victime l’espoir de récupérer quelque chose.
" />
Ou pour être plus précis, pour la même raison qu’un preneur d’otage essaie de faire en sorte que le négociateur puisse croire que les otages sont vivants
#29
Xor c’est pas vraiment une clé de chiffrement. C’est de l’encodage.
#30
#31
#32
Ok, je n’ai plus qu’à me faire véroler (
" />) pour savoir alors ! 
" />
#33
Bonjour,je fais une image de mon ordinateur en entier tous les quinze jours avec trueimage,alors les rancomwares je m’en fous
" />
#34
#35
#36
#37
je la fais sur un disque dur externe qui n’est jamais branché sur l’ordinateur,je ne l’utilise que quand le dois dois restaurer
" />
#38
#39
je la fais sur un disque dur externe qui n’est jamais branché sur l’ordinateur,je ne l’utilise que quand je dois restaurer
" /> (je rectifie mes fautes d’orthographes)
#40
Pour ce qui est de penser à l’incendie, dégàts des eaux,tremblement de terre,tempète et autres je suis assuré,c’est obligatoire en belgique,pas pas chez vous ?
#41
#42
#43
c’est pas une question d’assurance mais d’avoir une copie dans un endroit différent de l’appareil sauvegardé (amis, parents etc)
" />
#44
Toi tu es vraiment lourd,quand je fais une sauvegarde je branche le DDE et j’effectue une sauvegarde en sachant que je n’ai rien de pourri et ensuite je le débranche.
ceci étant dit j’ai toujours trois sauvegardes en cas où !
#45
#46
La difference entre le chiffrement et le codage c’est que le codage ne necessite pas de cle pour obtenir l’information (ie: base64).
Le XOR est effectivement un chiffrement, bien que tout pourrave.
#47
On peux craker Adobe CC ? Par ce que si tu restes sur les versions même CS6 c’est vieux, et maintenant les update arrive directement avec l’abonnement et plus de release majeur.
#48
#49
#50
#51
As tu lu la news?
il n’est pas question ici de Windows….
donc accuser Windows de faire mal son boulot sur une news traitant de MacOs…. comment dire….
#52
#53
#54
#55
https://fr.wikipedia.org/wiki/Chiffrement
“Le chiffrement ou cryptage1,note 1 est un procédé de cryptographie grâce auquel on souhaite rendre la compréhension d’un document impossible à toute personne qui n’a pas la clé de (dé)chiffrement. Ce principe est généralement lié au principe d’accès conditionnel.”
https://fr.wikipedia.org/wiki/Codage
“De façon générale un codage permet de passer d’une représentation des données vers une autre.”
Base64 est un codage et en aucun cas un chiffrement.
#56
#57
#58
#59
310144041c0d451907451a0c5311011b00120c531404004214010c53110654140d0c004417120b161b075f45105310171d531017b0ca16540f120c1f181c06051644061c0f081149001c0000b6cc04164a453907451a8bf3fc12040501051f0117120b165419121653b7d20549171145100a0c120f01001e111b10491701451d0d1654031c1001075b
#60
#61
#62
#63
Si les fichiers sont carrément absents, il faut vraiment aller râcler dans le fond pour tomber sur les rares utilisateurs qui ne seraient pas fichus de s’en rendre compte. M’enfin je suppose qu’on peut toujours tenter de leur vendre la “récupération”…
#64
#65
#66
rm -rf [directory], c’est très pratique
find ./ -type f -exec sed -i -e ’s/[maChaineàremplacer]/[nouvelleChaîne]/g’ {} \; ça aussi, c’est vachement utile pour modifier un terme dans tout les fichiers d’un dossier (et sous dossier).
D’après ce que tu semble dire, il faut interdire la possibilité d’exécuter de telle commande ? C’est pourtant des commandes qui sont basique en unix (je ne connais pas leur équivalent powershell)
Un logiciel comme XnView permet par exemple d’appliquer des opération comme le redimensionnement d’images, changer leur format… dans des dossiers complets. Ce genre de comportement n’a rien d’anormal.
De même, je vois aussi des système de sauvegarde et de backup qui font aussi des modifications en masse.
Et au passage, aucun programme ne s’exécute tout seul, il peut avoir une exécution automatisé (par exemple le planificateur de tâche sous Windows/crontab sous unix) ou encore des programmes qui tourne en tache de fond en attente d’un événement (typiquement le cas d’un antivirus) et on trouve aussi beaucoup qui sont appelés par un autre programme (c’est la base de tout ce qui est script Shell ou powerShell qui ne font appel qu’à d’autres programmes).
#67
#68
#69
Sa sens plutot le complot adobe/microsoft
tu nous pirate nous on efface tes donnee
#70
#71
Mais encore ?
#72
Soit. Alors dans ce cas, ta cle c’est l’algo de chiffrement/dechiffrement en lui-meme car il s’agit de la donnee connue uniquement par l’emetteur et le recepteur. Dans le cas ou il n’y a aucun parametre non-public (aussi appele cle) alors il s’agit d’un codage.
Dans ton exemple, cette pratique, comme tu dois le savoir, est fortement deconseillee:https://fr.wikipedia.org/wiki/Principe_de_Kerckhoffs
« La cryptographie militaire » du Journal des sciences militaires (vol. IX, pp. 5–38, Janvier 1883, pp. 161–191, Février 1883). Ce principe exprime que la sécurité d’un cryptosystème ne doit reposer que sur le secret de la clef.
Autrement dit, tous les autres paramètres doivent être supposés
publiquement connus. Il a été reformulé, peut-être indépendamment, par Claude Shannon : « l’adversaire connaît le système »
Pour info, dans les annees 40, enigma a ete craque et l’algo et la cle etaient autrement plus complexes qu’un simple base64.
Attention, un codage n’est pas forcement decodable en un coup d’oeil. Par contre, un codage est toujours decodable avec les parametres publics sans aucun autre parametre prive.
#73
#74
Je précise à tout hasard que les points que tu évoques sont pertinents et connus de moi :-) .
Je suppose qu’un cryptanalyste des années 40 aurait “craqué” du Base64, mais le codage est particulier puisqu’à 4 lettres codées correspondent 3 lettres du message initial (on code 3 x 8 bits sur 4 x 6, et l’ASCII n’existait pas à l’époque bien sûr ni l’octet).
#75
Oui c’est clair que ca n’aurait eu aucun interet a l’epoque car je ne pense pas qu’ascii et unicode existait.
Tout cela simplement pour dire que la difference entre codage et chiffrement est tres claire.
Chiffrement = besoin d’au moins un parametre prive (generalement une cle) pour obtenir les donnees
Codage = donnees pouvant etre obtenues uniquement avec les parametres publics
#76
iOS et android sont des telephones dont le spectre d’utilisation est fatalement plus restreint qu’un ordinateur donc les gens se plaignent moins car les besoins et attentes sont differents. A ce jour ces systemes n’ont pas remplace un PC. C’etait comme les tablettes supposees remplacer les ordinateurs portables, j’attends toujours.
En ce qui concerne ce que “veulent” les gens, il y a tellemement de besoins differents et contradictoires qu’il est impossible de faire une solution universelle. Il faut toujours placer le curseur entre securite/liberte, performance/confort, flexibilite/stabilite etc.
#77
Il y a toujours la solution de n’utiliser que des logiciels libres…
#78
#79
Parce que c’etait le point de depart de notre discussion. Et je te retorquais que le chiffrement n’est pas un codage pour les raisons expliquees precedemment.
#80
J’ai fais des essaies grandeur nature…