Un expert français de la société de recherche en sécurité Lexsi a trouvé plusieurs façons d’arrêter la propagation du ransomware Locky qui se diffuse par l’intermédiaire de macro-commandes intégrées à des fichiers Microsoft Word. Dans un billet, Sylvain Sarméjeanne expose les modifications que l’on peut apporter à un ordinateur pour le « vacciner » contre ce programme malveillant qui chiffre les fichiers d’un PC et réclame une rançon pour fournir la clé de déchiffrement. Cette méthode de vaccination avait déjà été appliquée au ver Conficker.C, rappelle ce spécialiste en rétro-ingénierie.

Relativement récent parmi les rançonlogiciels, Locky sévit tout de même depuis plusieurs semaines. Il est principalement distribué par le biais de messages spams qui tentent d’abuser les utilisateurs en se faisant par exemple passer pour des factures demandant l’ouverture d’une pièce jointe. Le malware s’exécute si les macros malveillantes sont activées dans le document Word, malgré la mise en garde généralement affichée par le traitement de texte qui avertit de la présence de macros dans les fichiers.

Créer des clés de registre et forcer la clé publique RSA

Par vaccin, Sylvain Sarméjeanne entend « toute modification mineure du système ayant pour objet de bloquer, sans intervention utilisateur, tout ou partie des effets néfastes liés à l’exécution d’un programme malveillant ». Le chercheur en sécurité en propose 4 dont un qui « utilise le fait de pouvoir forcer la clé publique RSA avec laquelle sont chiffrées les clés AES ». Le premier vaccin consiste à créer une clé de registre avec des ACL (Access control list) interdisant toute ouverture. L’une des premières choses que fait Locky est en effet de créer la clé de registre HKCU\Software\Locky après avoir vérifié les paramètres de langue du système. Au passage, on voit que le malware prend la précaution de pas infecter les systèmes configurés en langue russe.

Le deuxième vaccin réside dans la création de deux autres clés de registre, l’une d’elles empêchant le chiffrement les fichiers. Les deux derniers vaccins proposent de stopper l’avancée du malware, d’une part via une clé RSA corrompue et d’autre part via l’utilisation forcée d’une clé publique RSA sous le contrôle de l’utilisateur qui dispose de la clé privée associée. Ces méthodes de parade sont détaillées sur le billet publié par Lexsi. Il s’agit d’actions préventives pour se protéger contre la perte de fichiers que pourrait entraîner une attaque via Locky. Elles impliquent donc de prendre les devants en anticipant une éventuelle infection.