La cyberattaque qui a fait plus de 200 000 victimes à travers le monde depuis vendredi n'a pas épargné l'Université de Montréal. Un total de 120 appareils sur les 8300 de l'établissement ont été infectés par le virus WannaCry, confirme la porte-parole de l'établissement, Geneviève O'Meara.

D'autres universités, comme l'Université McGill, l'Université Concordia et l'Université du Québec à Montréal (UQAM), ont été jusqu'ici épargnées par le virus qui a sévi dans au moins 150 pays. Le réseau de la santé a aussi évité le pire, a annoncé le ministre de la Santé, Gaétan Barrette, sur son fil Twitter hier matin.

Seuls quelques postes ont été contaminés, mais les mesures préventives ont permis de limiter les conséquences, a confirmé Marie-Claude Lacasse, responsable des relations avec les médias pour le ministère de la Santé et des Services sociaux.

EXTORSION NUMÉRIQUE

Depuis vendredi, un logiciel malveillant de type « rançongiciel » a infecté via une faille dans les systèmes Windows des milliers d'ordinateurs à travers le monde, dont ceux du réseau de la santé britannique et du système bancaire russe, de même que de plusieurs entreprises, dont FedEx et Renault. Les utilisateurs victimes de ce « rançongiciel » voient leurs fichiers verrouillés. Une rançon allant jusqu'à 300 euros en monnaie virtuelle est exigée pour libérer les données.

L'Université de Montréal a été informée en fin de journée vendredi que certains de ses postes de travail avaient été infectés. Un message d'alerte et un rappel des consignes de sécurité ont aussitôt été envoyés à tous les utilisateurs de l'université.

« Nos équipes ont travaillé très fort pour limiter la progression. » - Geneviève O'Meara, responsable des relations avec les médias de l'UdeM

Selon les constats faits par les experts de l'Université de Montréal, le virus a frappé de façon aléatoire dans différents départements. Des analyses plus approfondies étaient en cours, hier, pour tenter de comprendre comment l'événement a pu se produire et quelles sont les conséquences réelles.

PEU DE RANÇONS PAYÉES

Hier, alors que le niveau de risque à l'international était revenu au vert (il est passé au jaune durant la fin de semaine), le nombre de rançons payées a néanmoins doublé en une journée. Ainsi, les pirates ont reçu environ 250 paiements depuis vendredi, pour un total avoisinant les 60 000 $US. Ce qui reste marginal, considérant les dizaines de milliers d'ordinateurs infectés.

« Si on retrace les paiements que les criminels ont reçus, on constate très facilement que plein d'organismes ont refusé de payer la rançon. Ça veut dire qu'à part les cas que l'on connaissait déjà - les hôpitaux en Grande-Bretagne, par exemple -, ils n'ont pas réussi à atteindre des systèmes critiques », expose Youssef J., architecte en cyberdéfense pour PM SCADA CyberSécurité.

Reste que, pour les institutions infectées, les dégâts financiers sont monstrueux. Pour une entité moyenne d'environ 20 000 utilisateurs du système informatique (les hôpitaux, les universités...), revenir aux opérations normales lui coûtera entre 5 et 10 millions, selon l'expert.

TRAVAIL D'ÉQUIPE INTERNATIONAL

Le Montréalais qui combat les pirates informatiques fait partie d'une équipe internationale établie aux États-Unis qui répond aux attaques comme celle de WannaCry. Youssef J. a travaillé sans relâche depuis jeudi avec des partenaires de partout dans le monde pour limiter les dégâts.

« On fait affaire avec le Defense Homeland Security (DHS), le FBI, les organisations gouvernementales américaines, canadiennes, Interpol, etc. », explique l'expert, qui a dirigé l'opération des derniers jours.

« L'idée est que l'on puisse rapatrier tous les gens clés dans cette opération pour qu'on puisse travailler en même temps et partager l'information. » - Youssef J., architecte en cyberdéfense pour PM SCADA CyberSécurité

Lors de situations d'urgence, les experts établissent une salle de conférence virtuelle à laquelle tout le monde se connecte 24 heures sur 24 jusqu'à ce que l'incident soit catalogué et catégorisé à un état acceptable de risque.

« Dans ces attaques-là, l'important, ce sont les indicateurs [NDLR : Indicateur de compromission, ou IOC, qui permet d'interpréter les données de menaces], explique Youssef J. Il faut les identifier en temps réel pour avoir le portrait des menaces qui se passent avant qu'il ne soit trop tard. »

LA FAILLE DE WANNACRY

C'est finalement une erreur des pirates eux-mêmes qui a permis d'arrêter la propagation de WannaCry. Les criminels informatiques ont malencontreusement oublié d'acheter un domaine. Un analyste a remarqué la faille, a acheté ledit domaine et, de ce fait, a stoppé la propagation du virus en s'interposant dans la logique de code des pirates.

« Mais ça ne fonctionne déjà plus parce qu'une nouvelle variante est sortie », ajoute toutefois Youssef J.

Les auteurs de WannaCry n'avaient toujours pas été identifiés ni localisés, hier soir. Des éléments d'enquête laissent croire qu'ils seraient aux Pays-Bas ; à tout le moins en Europe.

AUTRES ATTAQUES À VENIR

Professeur à l'École des sciences de l'information de l'Université McGill et détenteur de la chaire de recherche du Canada en exploration de données pour la cybersécurité, Benjamin Fung affirme aussi que des variations de WannaCry émergeront au cours des prochains jours. « Les variantes utiliseront les mêmes vulnérabilités du système Microsoft Windows », prévoit-il.

Pour se prémunir contre de futures attaques, usagers et institutions doivent notamment s'assurer d'installer leurs mises à jour et de réparer les brèches révélées par l'attaque. Il peut aussi être utile de sauvegarder ses données sur une unité de stockage indépendante, souligne M. Fung.

Youssef J. nuance : « Cette méthode n'est efficace que dans 50 % des cas. La plupart du temps, les virus vont s'infiltrer dans la sauvegarde. Alors, quand tu restaures ta sauvegarde, tu te réinfectes et tu te mets dans une boucle infinie. »

***

Comment le ver se propage-t-il ?

Le « rançongiciel » est camouflé dans un courriel qui ressemble en tout point à celui qui proviendrait d'un expéditeur connu: Le destinataire va ouvrir une pièce jointe au courriel et déclencher du même coup le « rançongiciel ». Une fois son poste infecté, le ver fait son chemin jusqu'au réseau de l'entreprise et contamine tous les postes y étant reliés.

- Avec l'Agence France-Presse