Mode de fonctionnement d'un malware caché ou ransomware par mail piégé, par g3n‑h@ckm@n.

J'ai fait plusieurs recherches sur des sites de matériel audio sur Google (rien de mieux pour se faire pister me direz-vous ;) ) pour avoir un mode d'emploi de mon Roland PMA‑5 car j'avais quelques lacunes quant à son utilisation. 

Quelques jours après je reçois un mail d'une adresse dont je n'ai pas retenu le nom, mais qui correspondait à ce que je cherchais, c'est-à-dire mon mode d'emploi.

• Non mécontent d'avoir une réponse (après 15 j d'attente), je télécharge donc le fichier PDF.

• Fichier que je m'empresse d'ouvrir afin de découvrir son contenu.

Je consulte donc mon PDF pendant une demi-heure pour voir si il est complet et si j'y trouve ce que je souhaite…

Néanmoins mon pc commence à ramer et à se comporter bizarrement…  

 

• Je fais un petit tour dans les dossiers voir ce qui se passe, et.…..HORREUR !!! quand je regarde dans mon dossier photos voici ce que j'y trouve :

Toutes mes photos ont une extension ajoutée et plus moyen de les ouvrir, même chose pour les musiques, vidéos, mon travail de plusieurs mois que je n'avais pas pensé à sauvegarder au cas-où, croyant être assez méfiant…je panique, et je fais bien !

• Je me dis que ce n'est pas normal et décide de jeter un œil dans le gestionnaire des tâches…

• Je vois bien mon lecteur PDF avec ma page de mode d'emploi…Mais en descendant un peu je vois un processus avec un drôle de nom :

• Je clique droit => accéder aux détails, puis clique droit => ouvrir l'emplacement du fichier :

Je tombe dans le dossier des fichiers temporaires où je vois bien mon fichier PDF et ce fameux processus avec un nom bizarre qui a quasi été déposé là en même temps que mon PDF.

J'ai vite compris que je m'étais fait piéger avec ce PDF par mail et qu'en fait c'était un virus qui était même parti avant que mon mode d'emploi s'ouvre.

Mais comment un fichier PDF peut-il créer un virus me direz-vous ?

 

• Je décide donc d'analyser ce fichier PDF que j'ai téléchargé via ma boite mail, sur Virustotal :

12 détections ça fait un peu beaucoup, mais observez bien le nom du fichier en réalité…

• Je veux vérifier en affichant les extensions…

• Du coup on s'aperçoit qu'en fait c'était un exécutable qui contenait bien mon PDF mais aussi ce satané virus qui m'a foutu en l'air tous mes fichiers.….

Et apparemment c'est un truc tout nouveau car très peu d'antivirus le détectent et ils n'ont pas encore eu le temps de le mettre en liste noire dans leurs bases de données.

Pour ce qui est de décrypter les fichiers cryptés, l’algorithme de cryptage est tellement compliqué que dans 80 % des cas il est impossible de les récupérer intacts pour le moment, les plus gros antivirus se cassent le nez sur le décryptage.

Moralité

 

1 – Toujours vérifier sur Virustotal un fichier qu'on télécharge par mail que ce soit d'une adresse inconnue ou même celle d'un ami (ce dernier a pu se faire pirater son compte et les malfrats l'utilisent pour faire encore plus de victimes).

2 – Toujours analyser aussi via son propre antivirus.

3 – Bloquer les adresses mail de personnes qu'on ne connait pas et qui vous écrivent, et le cas échéant, les signaler en "tentative de hameçonnage".

4 - Éviter de cliquer sur un lien qui vous promet de gagner je ne sais quoi, une page html avec du code caché peut être tout aussi dangereuse que ce que je viens de subir avec ce fichier au nom farfelu.

g3n‑h@ckm@n

Les autres articles de g3n‑h@ckm@n :