Malware – Qu’est-ce qu’un logiciel malveillant et comment se protéger ?

La petite histoire du malware 

1971 : La première preuve de concept

Avant qu’internet existe, du moins sous la forme que nous lui connaissons aujourd’hui, il y avait le réseau l’Advanced Research Projects Agency Network. ARPANET a débuté en 1967 pour essayer de connecter des ordinateurs distants. Les premiers ordinateurs ont été connectés en 1969. Ensuite, un an plus tard, le programme de contrôle du réseau (NCP) a été développé ; le prédécesseur de la pile moderne TCP/IP. Le NCP était la première couche de transport de réseau permettant aux données de circuler d’ordinateur à ordinateur.

En 1971, le premier microprocesseur a été développé, l’Intel 4004. Ironiquement, 1971 est aussi l’année de la première démonstration de concept du premier virus au monde ; surnommé « The Creeper ». Bien que crédité et référencé par diverses entités comme le premier virus informatique au monde, le Creeper présentait en fait le comportement d’un ver. Basé sur un concept formulé pour la première fois par le mathématicien allemand John von Neumann dans les années 1940, il a été construit chez BBN par l’ingénieur Bob Thomas. Il s’est répandu dans les ordinateurs d’ARPANET et a affiché le message suivant : « I’m the creeper, catch me if you can »

Comme ses successeurs modernes, le ver se propageait via un protocole réseau. L’intention n’était pas de faire preuve de malveillance, mais de voir si le message « I’m the creeper, catch me if you can » pouvait se propager à d’autres ordinateurs via ARPANET.

1982 : Le premier virus Mac

Contrairement à ce que disent tous les non-techniciens, « les Mac ne sont pas sensibles aux virus », le premier virus informatique découvert, surnommé « Elk Cloner », a été conçu pour cibler les ordinateurs Apple II.

Il a été écrit par un jeune de 15 ans qui écrivait de tels programmes pour faire des farces à ses amis. Ce virus se propageait chaque fois qu’un disque infecté était exécuté. Le virus résidait en mémoire et cherchait une disquette propre à infecter. Au cinquantième démarrage, Elk Cloner affichait un poème à l’utilisateur.

1986 : Le premier virus pour PC

En 1986, l’informatique est encore rudimentaire : lente et non connectée à internet. Les toutes premières itérations de l’internet sont reléguées aux gouvernements et aux universités. Il faudra attendre au moins trois ans pour que les fournisseurs d’accès à Internet (FAI) commencent à offrir un accès public à internet.

Cependant, l’année 1986 a également vu le lancement du premier virus pour PC ; surnommé « Brain ». Il a changé le monde de la sécurité informatique tel que nous le connaissons aujourd’hui. Originaire du Pakistan, il s’est rapidement propagé dans le monde entier ; en Europe et en Amérique du Nord. Ironiquement, le virus s’était répliqué de machine en machine à cause d’une contre-mesure anti-piratage.

Le virus Brain a été mis au point par Amjad Farooq Alvi et Basit Farooq Alvi. Deux frères pakistanais qui ont créé un virus de secteur de démarrage qui chargeait un message d’avertissement aux personnes utilisant une copie pirate de leur logiciel médical. Bien sûr, comme il n’y avait pas d’internet, il s’est propagé par l’interaction humaine via la copie de disquettes. À l’insu de l’utilisateur, le MBR (Master Boot Record) de la machine de la victime était infecté lors de la copie illégale du logiciel et se propageait lorsque la disquette était insérée dans la machine suivante. Comme il n’y avait aucun moyen de savoir qu’un virus MBR était infecté, il s’est propagé jusqu’à devenir un phénomène mondial.

Heureusement pour beaucoup, ce n’était pas un virus destructeur. Il cachait un secteur particulier afin que la machine ne démarre pas et affichait une notification contenant les informations de contact des frères Farooq Alvi pour y remédier. Ils affirment qu’ils voulaient que les personnes touchées les appellent pour discuter de la manière d’obtenir leur logiciel légalement.

1988 : Le ver Morris

La différence entre un virus et un ver est qu’un ver n’a pas besoin d’interaction humaine pour se propager à grande échelle. Il y a plus de 30 ans, le premier ver au monde est né. On l’appelait le ver Morris, du nom de son auteur, Robert Morris. Ce ver n’était pas un malware. Il a été créé comme une preuve de concept pour voir si la réplication sans intervention humaine était possible.

M. Morris a été le premier à être condamné en vertu de la loi sur la fraude et l’abus informatiques. Toutefois, il est ensuite devenu un entrepreneur prospère et a été titularisé au Massachusetts Institute of Technology (MIT).

1989 : Le premier ransomware au monde

En 1989, le cheval de Troie AIDS fait son apparition. Ce qui en fait le premier ransomware observé au monde. Par coïncidence, c’est également en 1989 que l’accès à l’internet a été rendu public pour la première fois par un fournisseur d’accès appelé TheWorld ; aux États-Unis. Toutefois, ce n’est qu’en 2005 que les ransomwares ont profité de la connectivité internet pour infecter et cibler des victimes.

1992 : Michelangelo

Ensuite, Michelangelo a été le prochain virus très médiatisé à avoir un impact significatif. Michelangelo était un virus qui ciblait les partitions DOS. Il a été écrit en langage Assembly. Et, comme ses prédécesseurs, il s’est propagé par le biais de disquettes. Ce qui lui permettait de se propager pendant le processus de copie et de chargement.

Il a été baptisé Michelangelo parce qu’il avait été programmé avec une bombe à retardement ; avec l’instruction de se réveiller le 6 mars, jour de l’anniversaire de Michelangelo. Ce qui l’a rendu tristement célèbre, c’est qu’après sa découverte, les médias ont largement couvert l’affaire en avertissant les utilisateurs de ne pas éteindre leur ordinateur ce jour-là ou de changer la date de leur machine un jour plus tôt pour éviter d’être touchés. C’était la première fois qu’un virus recevait autant d’attention de la part des médias grand public.

1994-95 : La scène warez et les premières attaques de phishing

Alors que l’utilisation d’Internet gagne du terrain, les escroqueries et le hameçonnage se développent également. Pour beaucoup de ceux qui ont grandi dans les salles de discussion d’AOL, la scène progz (argot pour programmes) et warez (argot pour logiciels) du milieu des années 90 était révolutionnaire.

De nouveaux programmes ont commencé à être échangés sur des salons de discussion warez illicites qui contenaient des punterz (pour mettre les gens hors ligne), des progz de phishing (pour voler les comptes des utilisateurs) et des outils utilisés pour générer des cartes de crédit aléatoires. L’un des programmes les plus célèbres était AOHell. Un jeu de mots sur le nom d’AOL, qui contenait un créateur de compte aléatoire qui utilisait des comptes de carte de crédit créés au hasard pour ouvrir un compte gratuitement.

Il contenait également l’une des premières preuves de phishing. De faux robots de messagerie instantanée AOL envoyaient des messages instantanés sans discernement à des cibles leur demandant de vérifier les informations d’identification de leur compte. Prétendant qu’il y avait un problème de facturation ou un problème similaire. 

1999/2000 : Apparition du premier malware de type botnet

Ensuite, en 2000, l’accès à haut débit commence à gagner du terrain au-delà des entreprises qui peuvent se permettre d’avoir accès à une ligne T1 grâce aux connexions DSL. Les particuliers et les entreprises peuvent désormais être en ligne 24 heures sur 24 et 7 jours sur 7. Au cours des années suivantes, les cybercriminels ont exploité cet accès omniprésent en ouvrant l’ère des botnets et des vers.

Le premier botnet observé a été le botnet EarthLink Spam en 2000. Sa tâche était simple : envoyer des quantités massives de spam. À l’époque, le botnet EarthLink représentait 25 % de l’ensemble du spam électronique ; soit environ 1,25 milliard de messages au total. Cette campagne a valu à son opérateur Khan C. Smith un jugement sans précédent le condamnant à une amende de 25 millions de dollars américains.

GTbot a été introduit en 1999, ce qui en fait le premier botnet. Ce malware était très rudimentaire. Il se propageait essentiellement à d’autres machines et recevait des commandes via IRC. Ces commandes étaient émises par les contrôleurs de GTbot, qui utilisaient ce réseau de dispositifs affectés (appelés zombies) pour lancer des attaques par déni de service distribué (DDoS).

La montée en puissance du ver

Les vers font toujours partie de l’arsenal des acteurs de la menace ; même s’ils ne sont plus aussi courants aujourd’hui. Comme expliqué précédemment, les vers sont différents des virus car ils n’ont pas besoin d’interaction humaine pour se propager. Et comme un ver se propage tout seul, il peut se répandre largement en peu de temps.

Indépendamment de son intention, être infecté par un ver à cette époque était généralement très visible. Cela entraînait souvent un déni de service (généralement dû à une faille). Parce qu’ils consomment de plus en plus de cycles de système d’exploitation, ils finissent par forcer une machine infectée à s’arrêter net. L’attaque par déni de service qui en résulte peut se propager en cascade dans toute l’entreprise à mesure que le ver se répand ; perturbant ainsi toute une organisation.

2000 : I LOVE YOU 2000 Blaster Sasser

Le ver I LOVE YOU a ouvert le millénaire avec une importante couverture médiatique. Il s’est propagé dans le monde entier à une vitesse record. Le ver I LOVE YOU a été créé par Onel De Guzman ; un étudiant des Philippines.

Le malware I LOVE YOU s’est propagé en utilisant plusieurs mécanismes. Tout d’abord, il a été envoyé aux utilisateurs par courrier électronique sous la forme d’une pièce jointe malveillante ; « LOVE-LETTER-FOR-YOU.vbs.txt ». Lorsqu’il était ouvert par la victime, le ver recherchait le carnet d’adresses Microsoft Outlook de la victime. Ensuite, il envoyait des courriels en se faisant passer pour la victime et en se répliquant en tant que pièce jointe.

Cette approche novatrice a permis d’infecter des millions d’ordinateurs en quelques jours, car de nombreuses personnes faisaient confiance aux courriels provenant de personnes de confiance ; notamment des amis, des membres de la famille et des collègues. Cette méthode, qui consiste à extraire le carnet d’adresses d’une cible et à se faire passer pour elle dans un courrier électronique, est toujours utilisée dans le cadre du savoir-faire des acteurs de la menace (EMOTET).

2003 : Le malware Blaster (MSBlast, lovesan)

En août 2003, de nombreuses personnes et sociétés étaient connectées à internet à l’aide d’une connexion haut débit. Cela a donné lieu à des attaques vermiformes qui ont battu tous les records.

Le 11 août 2003, Blaster (également connu sous le nom de MSBlast et lovesan) a été lancé. Les particuliers et les employés de grandes entreprises ont été surpris lorsque leurs machines ont soudainement connu le redoutable « écran bleu de la mort » (BSOD) et ont redémarré. Ce qu’ils ne savaient pas, c’est qu’ils avaient été touchés par le ver Blaster.

Blaster a ciblé une vulnérabilité de l’appel de procédure à distance (RPC) dans les systèmes d’exploitation Microsoft Windows XP et 2003 pour se propager dans le monde entier. L’objectif du ver était d’effectuer une attaque SYN flood contre windowsupdate.com pour empêcher les machines d’accéder aux mises à jour. Heureusement pour Microsoft, l’auteur a commis l’erreur de diriger Blaster vers le mauvais domaine. Le domaine windowsupdate.com n’était pas essentiel car les machines utilisaient plutôt windowsupdate.microsoft.com pour recevoir leurs mises à jour.

Cependant, en raison d’un bogue dans le ver, il a également provoqué un déni de service (BSOD) dû à un débordement de mémoire tampon. Les redémarrages continus n’ont rien fait pour l’entraver ; car il a simplement recommencé, éteignant les machines encore et encore. En raison de l’adoption généralisée de la connectivité Internet, cette attaque est devenue la première cyberattaque mondiale par déni de service.

Le malware Code Red (2001)

Ce ver hybride recherchait des serveurs Web vulnérables utilisant Microsoft IIS. Une fois qu’il a trouvé un serveur vulnérable, le malware affiche le message suivant : HELLO ! Welcome to http://www.worm.com ! Hacked By Chinese !

Il lançait également des attaques DDoS contre des sites prédéterminés.

Le malware MyDoom (2004)

Il s’agit du ver de messagerie qui s’est propagé le plus rapidement, dépassant I LOVE YOU. MyDoom détient toujours le record pour cet exploit.

2005 : Mytob/Zotob, combinaison de vers/backdoors/botnet

Mytob combine les fonctionnalités d’un ver, d’une backdooor et d’un botnet. Ce malware est une variante de MyDoom, créée par le même codeur qui a créé le ver Zotob. Mytob a infecté les machines des victimes de deux manières. Il est arrivé par courrier électronique via des pièces jointes malveillantes ; ou a exploité des vulnérabilités dans le protocole LSASS (MS04-011) ou RCP-DCOM (MS04-012). Ensuite, il a utilisé l’exécution de code à distance. Il utilisait également le carnet d’adresses de la victime pour se propager et recherchait d’autres machines par le biais d’analyses du réseau pour voir si elles pouvaient être compromises.

Ainsi, Mytob a été l’un des premiers virus à bloquer spécifiquement les logiciels antivirus ou à s’y opposer en empêchant la connexion de la machine de la victime à divers sites de mise à jour. Pour ce faire, tous les URI des fournisseurs connus étaient redirigés vers 127.0.0.1 ; une adresse IP locale. Ainsi, toutes les requêtes adressées à des sites web publics aboutissaient à la machine elle-même et ne menaient nulle part.

2005 : CoolWebSearch et BayRob

CoolWebSearch, communément appelé « CWS », a été la première opération cybercriminelle à détourner les résultats de recherche de Google ; en les superposant à ceux des acteurs de la menace eux-mêmes. Cette opération visait à voler des clics à Google. Le CWS était le plus souvent distribué par le biais de téléchargements de type « drive-by » ; ou de programmes adware. Il était si répandu et si difficile à supprimer que des volontaires ont développé des programmes et géré des forums Web pour aider à supprimer gratuitement les infections par CWS. Le malware CWS Shredder était l’un des nombreux programmes largement utilisés par les victimes de CoolWebSearch pour les aider à remettre leurs machines en état.

Une attaque similaire est apparue plusieurs années plus tard, en 2007. Elle utilisait une variante du détournement des résultats de recherche d’eBay. 

2010 : Le malware Stuxnet

Ensuite, les années 2010 ont été marquées par la première découverte d’un malware d’État utilisé pour cibler les systèmes de contrôle industriel ; en particulier les systèmes de contrôle de surveillance et d’acquisition de données.

Stuxnet s’est avéré être le premier logiciel malveillant d’État à cibler des infrastructures critiques, en l’occurrence des centrifugeuses industrielles (notamment nucléaires) ; provoquant leur surrégime et leur fusion. Stuxnet visait spécifiquement des organisations en Iran, mais s’est rapidement propagé à d’autres systèmes SCADA dans le monde. L’analyse du malware Stuxnet a mis en évidence qu’il n’était pas spécifique à l’Iran et qu’il pouvait être adapté à toute organisation utilisant des dispositifs ICS similaires. En 2012, un article du NY Times a confirmé que les États-Unis et Israël avaient développé Stuxnet.

2011 : Le malware Regin

Le malware Regin est un cheval de Troie d’accès à distance (RAT) très modulaire. Cela lui permet d’être très flexible et de s’adapter à un environnement ciblé. Regin a également réussi parce que son fonctionnement était très inoffensif. Les fichiers qui étaient exfiltrés étaient souvent conservés dans un conteneur crypté. Mais au lieu d’être stockés dans plusieurs fichiers, tout était conservé dans un seul fichier ; évitant ainsi d’éveiller les soupçons des administrateurs système ou des logiciels antivirus. Selon Der Spiegel, Regin était une création de la NSA et avait été conçu pour espionner l’UE et ses citoyens. Cette information a été révélée par la tristement célèbre fuite d’informations classifiées fournie par Edward Snowden.

2012 : Le malware Flame

Flame était considéré comme le malware le plus avancé jamais découvert au moment de sa découverte. Il avait tout : une capacité vermiforme à se propager via les réseaux LAN, il pouvait enregistrer et capturer des captures d’écran et de l’audio. Aussi, il pouvait écouter et enregistrer des conversations Skype. Enfin, il pouvait transformer des postes de travail Bluetooth en balises d’écoute qui pouvaient ensuite exfiltrer et déplacer des fichiers vers d’autres balises ; pour finalement envoyer des fichiers à un serveur C2 prédéterminé. Flame visait principalement les organisations du Moyen-Orient.

2011/12 : Le malware Reveton

Reveton n’a pas été le premier « ransomware » de l’ère de l’Internet. Cette distinction revient à GPCODe (2005) ; et à d’autres. Cependant, le malware Reveton a été l’archétype du ransomware moderne ; contribuant à établir l’aspect et la convivialité qui existent encore aujourd’hui. Notamment l’écran de verrouillage omniprésent qui fournit des détails sur ce qui s’est passé, comment entrer en contact avec le mauvais acteur, comment payer la rançon et comment déchiffrer les fichiers, etc.

Reveton a également fait couler beaucoup d’encre car il présentait toutes les caractéristiques d’une organisation cybercriminelle professionnelle. Non seulement il avait une apparence professionnelle, mais il utilisait également des modèles ; ce qui était une autre première. Les écrans de verrouillage s’affichaient à l’utilisateur en fonction de sa géolocalisation et présentaient à la victime l’écran de verrouillage d’un organisme local d’application de la loi ; accompagné d’instructions sur la manière d’effectuer le paiement. 

2013 : CryptoLocker – l’arrivée des crypto-monnaies comme moyen de paiement

CryptoLocker a été le premier ransomware à demander un paiement en bitcoins. Le prix du décryptage était de deux BTC. Ce qui, en 2013, représentait entre 13 et 1 100 dollars ; soit une somme modeste pour les acteurs de la menace.

N’oubliez pas que les crypto-monnaies n’en étaient qu’à leurs balbutiements et qu’il était difficile de convaincre des victimes non initiées non seulement de payer mais aussi de comprendre comment utiliser les crypto-monnaies.

2013 : DarkSeoul et Lazarus

Outre les ransomwares, 2013 a également marqué le début de l’ère des attaques parrainées par des États. Le malware DarkSeoul a visé le diffuseur coréen SBS et des institutions bancaires en Corée du Sud le 20 mars 2013. Le logiciel malveillant utilisé dans cette attaque, Jokra, ciblait le master boot record (MBR) d’un appareil et les écrasait. De nombreux utilisateurs de fournisseurs de services internet, de télécoms et de distributeurs automatiques de billets ont également été touchés ; leurs réseaux ayant été mis hors ligne.

Cette attaque a été attribuée à Lazarus (Corée du Nord), qui a également ciblé Sony Corporation en 2014. L’équipe de Lazarus a également été associée à des attaques contre la Banque du Bangladesh en 2016. Ils ont tenté de voler 951 millions de dollars mais n’ont réussi à s’en sortir qu’avec 81 millions de dollars.

2015 : Browser Locker et fausses arnaques au support technique (BSOD)

Bien qu’il ne s’agisse techniquement pas de logiciels malveillants, les premières arnaques au support technique et diverses variantes de Browser Locker sont apparues en 2015. Ces attaques nuisibles imitent essentiellement les ransomwares en amenant les victimes soit à paniquer et à appeler un faux numéro d’assistance.

Le stratagème déployait un JavaScript malveillant sur des sites Web légitimes qui avaient été compromis. Ce JavaScript rendait alors un navigateur inopérant, affichant fréquemment des avertissements et des demandes en mode plein écran ; paiement pour déverrouiller, vente de faux logiciels de remédiation ou de services techniques, etc. D’autres variantes de cette stratégie consistaient en l’affichage d’écrans bleus (BSOD), qui semblaient convaincants pour la victime ; notamment un numéro gratuit prétendant être le support technique de Microsoft. Mais il s’agissait en fait d’un acteur de la menace dans un centre d’appels situé dans un pays étranger.

2016 : Le premier botnet IoT arrive

L’arrivée de Mirai en a surpris plus d’un. Il s’agissait du premier botnet à cibler les appareils IoT. S’il ciblait principalement les routeurs de réseau, il incluait d’autres appareils IoT. Mirai était principalement un botnet DDoS. Il a été impliqué dans des attaques notables contre le site web de Brian Krebs, krebsonsecurity.com. Il est aussi responsable de la mise hors service d’un segment massif de l’internet ; perturbant l’accès et les services dans le monde entier.

Mirai n’était pas seulement une attaque très médiatisée en raison de sa nouveauté, mais aussi parce qu’elle a été capable d’amasser une armée mondiale de botnets en très peu de temps. Ce qui lui a permis de rediriger le trafic internet vers des sites ciblés à partir de systèmes infectés dans le monde entier. Il était donc particulièrement difficile de s’en défendre. Le flux de trafic provenait de partout. 

2017 : ShadowBrokers (NSA), WannaCry, Petya/NotPetya et la non-divulgation des vulnérabilités.

La fuite ShadowBrokers de la NSA a été sans précédent et dévastatrice. Non seulement parce qu’elle a révélé des logiciels malveillants secrets développés aux plus hauts niveaux du gouvernement américain, mais aussi parce que les acteurs de la menace ont effectivement réutilisé les outils et les exploits qui ont été publiés. Ces outils, dont le nom de code est « Fuzzbunch », étaient un cadre d’exploitation développé par la NSA.

Une partie de ce cadre comprenait un malware connu sous le nom de DoublePulsar, une attaque par porte dérobée qui contenait le tristement célèbre exploit « EternalBlue ». EternalBlue était un exploit de type « zero-day » que la NSA conservait dans son arsenal. Il visait le protocole SMB (Server Message Block) de Microsoft (CVE-2017-0444).

Il a ensuite été utilisé pour diffuser les tristement célèbres ransomwares WannaCry, Petya/NotPetya, avec des conséquences désastreuses. Ces variantes de ransomware ont été si perturbatrices qu’elles ont provoqué l’arrêt d’installations de fabrication dans le monde entier. 

2017 : Malware de minage de crypto-monnaies

Même si les menaces liées aux crypto-monnaies étaient reléguées dans un premier temps aux ransomwares ou aux vols de portefeuilles de crypto-monnaies, 2018 a introduit une méthode jamais vue auparavant. XMRig est une application de minage écrite pour miner la crypto-monnaie Monero. Elle fonctionne en utilisant les cycles CPU inutilisés d’une machine pour aider à résoudre divers problèmes mathématiques utilisés dans le minage de crypto-monnaies. Cependant, des cybergangs ont commencé à installer subrepticement XMRig sur des machines et des appareils compromis ; puis à collecter et à agréger les données résultantes pour leur propre profit en crypto-monnaie.

Les variantes des campagnes qui ont intégré XMRig dans leurs attaques ont également ciblé des appareils mobiles via des APK Android malveillants, des conteneurs docker et des attaques de chaîne d’approvisionnement ciblant NPM ; pour n’en citer que quelques-unes. 

2019 : Le malware GandCrab et l’émergence des ransomwares en tant que service

Enfin, GandCrab a inauguré une nouvelle vague qui a fait grimper le volume et la virulence des attaques en fournissant des ransomwares pour les masses ; contre rémunération.

GandCrab a cherché à faire deux choses : se distancer des attaques réelles contre les entreprises et générer plus de revenus. Il a perfectionné le modèle économique connu sous le nom de Ransomware-as-a-Service (RaaS). Le RaaS permet aux auteurs de GandCrab de travailler sur leur code tout en confiant à d’autres la réalisation des cyberattaques. Dans ce modèle, les affiliés font tout le sale boulot tandis que les auteurs restent en arrière-plan et prennent une part de la rançon reçue.