Payer 1 bitcoin (soit 736 euros) ou infecter ses amis. Tel est le dilemme qu'impose un nouveau virus, le ransomware (logiciel de rançon) Popcorn Time -qui n'a rien à voir avec le logiciel de streaming illégal du même nom. Découvert le 7 décembre par la Malware Hunter Team, un groupe international de chercheurs en sécurité qui excelle dans la détection de sites d'hameçonnage, Popcorn Time est peut-être le virus le plus retors jamais observé, car il a trouvé une astuce imparable pour devenir viral.
Une fois téléchargé via un lien malveillant ou une pièce-jointe, Popcorn Time agit comme les autres ransomwares : il prend le contrôle de votre ordinateur en cryptant toutes ses données (photos, vidéos, documents et tous les autres fichiers présents), ce qui le rend inutilisable.
L'originalité est que pour obtenir une clé de décryptage et retrouver ses données, la victime a deux solutions. la première, très traditionnelle, est de payer une rançon d'un bitcoin. La deuxième, inédite, est présentée par les hackers eux-mêmes comme « la méthode sale ». Il s'agit d'une alternative au paiement qui offre à la victime de se transformer en pirate en envoyant le lien contenant le virus à des connaissances. Si deux d'entre elles se font avoir, téléchargent le virus et paient la rançon, la victime recevra sa clé de décryptage gratuitement. Bien sûr, il faut que les deux victimes collatérales paient avant la fin du compte à rebours, sinon toutes les données seront définitivement effacées.
Des soi-disant Syriens qui utiliseront l'argent à des fins humanitaires
Les hackers derrière Popcorn Time piègent donc leurs victimes deux fois : soit ils paient directement la rançon, qui est élevée, soit ils attendent quelques jours pendant lesquels le virus est propagé par les victimes elles-mêmes, ce qui le rend viral et multiplie leurs chances de toucher d'autres rançons. Surtout si les nouvelles victimes choisissent elles-aussi de transmettre le virus plutôt que de payer...
De plus, rien ne garantit que les hackers tiendront leur promesse d'offrir la clé de déchiffrement si deux des connaissances de la victime paient. La parole des cybercriminels ne vaut rien, et la victime pourrait devoir payer quand même avant la fin du compte-à-rebours pour éviter que ses données soient définitivement détruites.
Autre particularité, les hackers s'excusent de leurs actions. Un encadré, situé en bas du message qui s'affiche sur l'écran lors du piratage, explique leurs soi-disant motivations:
« Nous sommes un groupe d'étudiants en science informatique de Syrie. Comme vous le savez probablement, la Syrie souffre depuis cinq ans. Depuis 2011 plus d'un demi-million de personnes sont mortes et plus de 5 millions sont devenus des réfugiés. Chaque membre de notre équipe a perdu un proche dans sa famille. J'ai personnellement perdu mes deux parents et ma petite sœur en 2015. La triste conséquence de cette guerre est que tout le monde se combat mais nous, les gens simples et pauvres, souffrons et regardons notre famille et nos amis mourir chaque jour. Le monde reste silencieux et personne ne nous aide donc nous avons décidé d'agir »
Et d'ajouter, bien en évidence :
« Soyez parfaitement sûr que tout l'argent que nous récoltons ira à l'achat de nourriture, de médicaments, d'abris pour notre peuple. Nous sommes vraiment désolés de vous forcer à payer mais c'est la seule façon pour continuer de vivre. »
De quoi jouer sur la corde sensible des victimes les plus crédules, ou les déculpabiliser de transmettre à leur tour le virus. Mais la « bienveillance » des hackers a des limites. L'analyse du code par la Malware Hunter Team révèle que si la victime se trompe quatre fois en rentrant la clé de déchiffrement (une série complexe de chiffres et de lettres), le système se bloque et les données sont détruites.
Des solutions en amont et pour éviter de payer
D'après la Malware Hunter Team, le virus était encore en phase de test quand il a été découvert. Impossible de dire combien de personnes il a déjà touché, mais il pourrait faire des ravages, d'après Régis Bénard, consultant technique chez l'éditeur français de logiciels de sécurité Vade Secure:
« L'exploitation de chaîne (comme la chaîne de Ponzi) est une des dérives à laquelle il fallait s'attendre en tant qu'alternative à la rançon. Participer à la diffusion du ransomware et infecter ses connaissances est finalement pire que de payer la rançon. La cybercriminalité expérimente ainsi l'affiliation sous une forme inédite par la corruption des victimes, et par la menace. Ce nouveau type de diffusion est, il faut le reconnaître assez malin ».
Si vous êtes victimes d'un ransomware, vous pouvez vous rendre sur le site ID Ransomware, qui vous aide à identifier le type de logiciel rançon qui vous menace grâce aux signatures spécifiques contenues dans la demande de rançon. Actuellement, le site recense plus de 160 rançongiciels différents, dont Cerber, la nouvelle star des logiciels malveillants. Il est également possible de d'utiliser des logiciels de décryptage comme Photorec ou Kaspersky Decryptor.
| A lire. Le virus Cerber, la nouvelle terreur des ordinateurs
Dans tous les cas, ne pas payer la rançon, ni transmettre le virus. Mais la meilleure protection est d'utiliser, en amont, un logiciel de protection (antivirus, anti-malwares, anti-spams, certains sont gratuits). Et surtout, de ne jamais ouvrir des courriels suspects et se renseigner sur les programmes qu'on vous propose de télécharger.
| Pour aller plus loin. Cybercriminalité : qui sont les escrocs du darknet français ?
Plan d'urbanisme à Paris : les professionnels dénoncent « une aberration », le premier adjoint d'Hidalgo leur répond
Sujets les + commentés