Lancé en 2016 ce code malveillant avait infecté 900.000 machines partout dans le monde. En six mois, le Centre de lutte contre la criminalité numérique (C3N) a réussi à localiser la tour de contrôle des pirates et à la remplacer par leur propre serveur pour désinfecter les machines.

Les cybergendarmes français du Centre de lutte contre la criminalité numérique (C3N) basé à Cergy-Pontoise (Val-d’Oise) ont réussi un bel exploit en nettoyant quelques 850.000 ordinateurs infectés par le virus Retadup.

Lancé en 2016 par des pirates du Moyen-Orient ce code malveillant s’est infiltré via des clés USB, des pièces jointes ou des liens transmis par email dans des PC et serveurs tournant sous Windows.

Pour les particuliers ou les entreprises attaquées et basées dans 140 pays, surtout en Amérique du sud, ces machines se sont alors transformées en zombies télé-opérables depuis un serveur central.

Ces 850.000 ordinateurs, dont quelques centaines en France, ont permis aux pirates d’attaquer des serveurs, notamment ceux d’hôpitaux israéliens pour y dérober des données de patients, mais aussi créer de la cryptomonnaie ou encore utiliser des logiciels d’extorsion (Ransomware.

Le chef des cybergendarmes est intervenu en début d’année en réponse à la demande du fabricant de virus Avast qui a détecté l’existence possible d’un serveur pirate basé en France et qui semblait infecter des milliers d’ordinateurs.

Ø Le mode opératoire adopté par les cybergendarmes est assez original :

Alors que les entreprises en charge de la protection des données dirigent généralement le virus vers un coin mort d’internet, la stratégie mise en œuvre ici a été d’envoyer du code pour désactiver les différentes versions du virus qui infectaient les ordinateurs.

 Ceci a nécessité concrètement de localiser la tour de contrôle qui pilotait le réseau des PC contaminés pour la remplacer par un serveur du C3N conçu pour désinfecter les ordinateurs sans que leurs utilisateurs n’aient à effectuer d’opération.

Six mois ont suffi à la C3N pour mener à bien cette action après l’ouverture d’une enquête menée par la section F1 du parquet de Paris, chargée de la cybercriminalité, en coopération avec le FBI certains noms de domaines étant enregistrés aux Etats-Unis. Il avait donc fallu requérir une autorisation des cours fédérales pour bloquer certains trafics et les diriger vers le serveur du C3N.