Bulletin Dinformation

Titre : Attaque par Ransomware exploitant des vulnrabilits SMB (SUITE)

Suite aux deux derniers bulletins diffuss par le maCERT (1, 2) concernant l'attaque par le
ransomware Wannacry ou Wcry , et devant l'ampleur des dgts provoqus par ce malware
travers le monde, le maCERT invite les diffrents responsables des systmes d'information
prendre au srieux cette menace et profiter du weekend ( la majorit des utilisateurs qui peuvent tre
cibles sont en cong) pour prparer un plan d'action et valuer correctement le risque.
Il est important de comprendre qu'un seul ordinateur, sous le systme d'exploitation
Windows qui n'est pas jour, une fois infect va propager le malware automatiquement tous les
autres systmes, videment s'ils ne sont pas jour, mme s'ils n'ont pas accs Internet travers le
protocole SMB qui est par dfaut activ en interne d'un systme d'information.
Par ailleurs, pour les entits qui ne disposent pas d'un inventaire exact des ordinateurs sous
Windows souffrant des vulnrabilits identifies par CVE-2017-0143, CVE-2017-0144, CVE-2017-
0145, CVE-2017-0146, CVE-2017-0147 et CVE-2017-0148 et qui ont t corrigs par Microsoft le
14 mars 2017 par le bulletin MS17-010, le maCERT recommande de mettre en place les mesures ci-
dessous le plus rapidement possible pour gagner des dlais en attendant de mettre jour l'ensemble
du parc informatiques sous Windows :
Sensibiliser vos utilisateurs ne pas ouvrir des pices jointes et des liens contenus dans les
E-mails car les E-mails de phishing sont considrs comme vecteur principale de
propagation. En fonction du contexte de votre entit vous pouvez mme bloquer l'accs la
messagerie pendant une dure limite.
Ajouter des rgles au niveau de vos firewalls (internes et frontales) pour bloquer tout accs

Direction Gnrale de la Scurit des Systmes dInformation, ,

Centre de Veille de Dtection et de Raction aux Attaques 8401 ..
Informatiques, Mchouar Sad, 47 74 74 14 77 : 47 74 74 18 04 :
B.P. 1048 Rabat Tl : 05 37 57 21 47 Fax : 05 37 57 20 53 contact@macert.gov.ma
Email : contact@macert.gov.ma
 de n'importe quelle source vers n'importe quelle destination travers les ports 137, 138, 139,
445.
Dsactiver les protocoles SMBv1 et SMBv2 au niveau de tous les ordinateurs sous Windows
(vous pouvez automatiser cette tache si tous les postes adhrent un domaine AD).
Ces deux dernires mesures peuvent engendrer des perturbations dans le fonctionnement des
services Windows mais ce sont des mesures temporaires. Pour plus de dtail concernant la
dsactivation de SMB consulter les supports en ligne de Microsoft.

Direction Gnrale de la Scurit des Systmes dInformation, ,

Centre de Veille de Dtection et de Raction aux Attaques 8401 ..
Informatiques, Mchouar Sad, 47 74 74 14 77 : 47 74 74 18 04 :
B.P. 1048 Rabat Tl : 05 37 57 21 47 Fax : 05 37 57 20 53 contact@macert.gov.ma
Email : contact@macert.gov.ma