L´armée Française attaquée par un virus informatique

Les réseaux informatiques du ministère de la Défense Françaises visés par un virus informatique.
La grande muette vient de gouter au joie d'un virus informatique. La lettre intelligence online
a appris qu'un virus informatique avait immobilisé certains systèmes
d'armes de l'armée Française comme ceux des avions Rafale de la Marine.
Voilà
qui n'est pas rassurant d'autant plus que le virus en question n'a rien
de particulièrement impressionnant. Dans ce cas, aucune création
ciblant particulièrement l'armée Française. Simplement une attaque du
virus Conflicker [Conficker, Downadup]. Un virus qui exploite une faille corrigée par Microsoft depuis quelques mois.
Le
12 janvier dernier, ce code malveillant a du obliger l'état-major a
isoler Intramar, l'Intranet militaire, des autres systèmes
d'information. La base aérienne de Villacoublay et du 8ème régiment de
transmissions auraient été infectés. Les 15 et 16 janvier, les Rafale
de la Marine "sont restés cloués au sol" indique intelligence
Online. Motif, impossibilité de télécharger les paramètres de vol.
Laurent Teisseire, porte-parole du ministère de la Défense, a expliqué
que "c'est le déclenchement des procédés curatifs qui a entrainé l'arrêt du réseau Intramar de la Marine"
et non l'action du virus. Le ministère a indiqué au journal Le Monde
que contrairement à ce qu'affirme Intelligence Online, le virus n'a pas
eu des conséquences sur l'activité opérationnelle, juste des pannes ou
des ralentissements dans les ordinateurs utilisés pour la logistique.
Pendant ce temps... la DGA lance le nouvel intranet des forces aéronavales
La
Délégation générale pour l’armement (DGA) a notifié le 22 décembre 2008
à EADS Defense & Security, le marché RIFAN (Réseau IP de la force
aéronavale) étape 2, un programme destiné à renforcer le réseau
intranet équipant les bâtiments de surface, les sous-marins et les
aéronefs de la marine nationale.
D'une valeur
totale de 240 millions d'euros, la cible du marché global prévoit
l’installation sur 5 ans de RIFAN étape 2 à bord de 116 bâtiments de
surface et sous-marins ainsi que des avions de patrouille maritime
Atlantique 2, des avions d’alerte lointaine Hawkeye et des hélicoptères
NH90. La liste définitive des unités équipées sera déterminée courant
2009. Ce marché comprend la définition d’un nouveau réseau basé sur la
technologie IP (Internet Protocol), son déploiement à bord des
bâtiments en service, ainsi que la rénovation et la numérisation
complète des moyens de transmission V/UHF de ces bâtiments. Le contrat
prévoit aussi le maintien en condition opérationnelle du système
pendant les cinq premières années d’exploitation. Cette deuxième étape
s'inscrit dans la suite de l'opération RIFAN étape 1 qui a déjà permis
d'équiper les bâtiments de premier rang (46 unités) ainsi que 6
sous-marins nucléaires d’attaque. RIFAN étape 2 est un réseau qui
permettra l’échange d’informations à haut débit entre les différents
systèmes d’information et de commandement embarqués sur les bâtiments
ou les aéronefs de la marine. Ce réseau couvrira tous les niveaux de
confidentialité de l’information, du niveau non protégé jusqu’au niveau
secret OTAN. Le système RIFAN étape 2 comportera enfin une capacité de
management de la totalité du réseau à partir de la métropole.
La grande famille des casse-bonbons
Downadup utilise plusieurs moyens de propagation, notamment via la vulnérabilité tout récemment corrigée dans Windows Server
Service, en devinant les mots de passe réseau et infectant les clés
USB. Par conséquent, une fois que le malware accède au réseau interne
de l’entreprise, il peut être particulièrement difficile à éradiquer.
Les problèmes les plus souvent rencontrés à la suite de l’infection par
ce ver sont, notamment, le verrouillage des comptes utilisateurs
réseau. En tentant de connaître les mots de passe réseau, le ver
déclenche le verrouillage automatique comme un utilisateur ayant tapé
un mot de passe erroné plusieurs fois.
Une
fois que ce ver infecte une machine, il se protège de façon très
agressive. Il se paramètre pour s’exécuter très tôt dans le processus
de redémarrage de la machine. Il s’arrange également pour donner les
droits d’accès aux fichiers et clés de registre du ver de sorte que
l’utilisateur ne puisse ni les supprimer, ni les changer. Le ver
télécharge, à partir de nombreux sites web, des versions modifiées de
lui-même. Les noms de ces sites sont générés par un algorithme en
fonction de la date et de l'heure actuelle. Parce qu’il existe des
centaines de noms de domaines sur lesquels peut s’appuyer le malware,
il est difficile pour les éditeurs de sécurité de tous les localiser et
les fermer à temps.
Que faire pour éviter la contamination ?
- Assurez-vous que les derniers correctifs de Microsoft ont été appliqués [lire]
- Assurez-vous que l’antivirus de votre entreprise est bien à jour
- Vérifiez que l’antivirus a bien téléchargé les dernières mises à jour
- Désactivez les modes AUTORUN et AUTOPLAY pour les clés USB
- Assurez-vous que les mots de passe de domaine des utilisateurs sont suffisamment complexes
Que faire si votre réseau est déjà infecté
- Vérifiez le site Internet de votre éditeur d'antivirus pour en savoir plus sur le processus de désinfection
- La désinfection de ce ver est complexe et vous pourriez avoir besoin de fermer certaines parties de votre réseau
- Restreignez l'utilisation des clé USB et bloquez le trafic inutile au niveau du pare-feu.