Ce malware a été utilisé pour envoyer des e-mails et infecter des ordinateurs par l'entremise d'un faux logiciel antivirus, en s'appuyant sur un système peer-to-peer compliqué pour communiquer avec d'autres machines infectées. Dans le dernier rapport semestriel sur la sécurité informatique qu'elle vient de publier, Microsoft indique ainsi avoir nettoyé seulement 29 816 ordinateurs infectés par Waledac au second trimestre de cette année, contre 83 580 ordinateurs au premier trimestre.

Selon Adrienne Hall, directeur général du département "Trustworthy Computing" de Microsoft, « la baisse du nombre de machines infectées atteste du succès de l'action juridique menée par Microsoft cette année. »  Les actions en justice menées par Microsoft contre Waledac sont sans précédent, puisque, fait assez rare, l'entreprise a obtenu une ordonnance ex parte d'interdiction temporaire (TRO) pour fermer les noms de domaine malveillants que les contrôleurs de Waledac ont utilisé pour communiquer avec les machines infectées. Le fait de recourir à un tribunal « permet de prendre acte du fait que des poursuites sont engagées pour rechercher les auteurs, » a déclaré Adrienne Hall.

Jugement favorable et exequatur accélérée

Ce type de jugement permet d'interrompre une activité sans préavis et sans nécessité de faire comparaître l'auteur devant un tribunal. Dans le cas de Waledac, le blocage soudain des noms de domaine a empêché les opérateurs du botnet de disposer de suffisamment de temps pour enregistrer d'autres domaines et permettre à leurs robots de réinitialiser des instructions. En général, les tribunaux fédéraux rechignent à délivrer ce genre d'ordonnance, car elle peut violer le droit des accusés à un procès équitable, sauf si le juge est convaincu que les auteurs peuvent se réorganiser rapidement et reprendre leur activité. C'est ainsi que Microsoft a réussi à obtenir deux TRO ex parte du tribunal.

Dans les documents d'assignation de Microsoft, on trouve 27 fois le nom de celui qui a enregistré les noms de domaines mis en cause, apportant au tribunal « un objectif identifiable pour une procédure juridique, tout en protégeant les droits des personnes de recourir à une procédure régulière. » Mais la plupart des 276 noms de domaines utilisés pour contrôler Waledac ont été enregistrés par des registrars domiciliés en Chine.  Autre signe de la diligence dont a bénéficié Microsoft, celle-ci a pu rendre la TRO ex parte applicable par la loi chinoise et mettre la procédure en conformité avec les traités internationaux. Les titulaires des noms de domaine ont été notifiés par la Convention de La Haye par une « demande aux fins de signification ou de notification à l'étranger d'un acte judiciaire ou extra judiciaire » et tous les documents ont été envoyés au ministère chinois de la Justice en plus d'être publiés sur un site Internet spécifique.

Touché mais encore actif

Les sites ont été fermés dans les 48 heures après que la cours de justice de Virginie a délivré son ordonnance. Le mois dernier, le tribunal avait déjà tenu audience, ouvrant un jugement par défaut contre les prévenus non identifiés, et a octroyé le transfert du contrôle des domaines à Microsoft. L'entreprise indique dans son rapport qu'une injonction permanente est en cours. « Nous pensons que cela a effectivement porté un coup à Waledac, » a déclaré Adrienne Hall. Si les avocats ont travaillé sur le plan juridique, les experts techniques ont également attaqué Waledac. Microsoft a ainsi mobilisé une équipe de chercheurs en sécurité informatique qui ont infiltré le système de contrôle peer-to-peer de Waledac. Une fois à l'intérieur du réseau de zombies, ils ont détourné les machines infectées vers leurs serveurs, de manière à couper les cybercriminels de leur propre botnets.

Mais si Waledac a bien été touché, il reste encore actif, puisque le botnet arrive en 23ème position des sur l'ensemble de botnet détectées. Ce qui fait dire à Microsoft dans son rapport, que même après de nombreuses mesures juridiques et techniques, les botnets restent des adversaires difficiles à combattre.