Les ransomwares cherchent de nouvelles façons de se propager et après nous avoir pourri la vie à base de pièces jointes contenant des fichiers ZIP et JS (comme Locky), la menace circule désormais avec des fichiers .hta (qui ciblent Windows) ainsi que .docm notamment
En tant qu'utilisateur final pour s'en protéger pensez à : - Ne pas ouvrir les pièces jointes que vous n'attendez pas, dont l'expéditeur est inconnu etc : le bon sens prime - Vérifiez que votre antivirus est toujours actif - Soumettre toute pièce jointe suspecte sur le site Hybrid Analysis
En tant que responsable informatique pour s'en protéger pensez à : - Interdire les pièces jointes aux formats HTA dans vos systèmes de messagerie (par défaut dans Google Apps et par Outlook.com) - Avoir un antivirus digne de ce nom - Sur vos domaines Microsoft Windows, mettre en place une GPO qui force l'exécution des fichiers en .hta et .js avec le bloc note
Le dernier HTA malveillant aperçu dans la nature contacte le nom de domaine dellboy36.mymediapc.net sur le port 3356
Chez Google (Gmail et Google Apps) les extensions suivantes sont bloquées de base : .ade, .adp, .bat, .chm, .cmd, .com, .cpl, .exe, .hta, .ins, .isp, .jar, .jse, .lib, .lnk, .mde, .msc, .msp, .mst, .pif, .scr, .sct, .shb, .sys, .vb, .vbe, .vbs, .vxd, .wsc, .wsf, .wsh

Questions fréquentes

Pourquoi les fichiers HTA ou DOCM sont-ils risqués ?

Ces fichiers peuvent exécuter du code ou des macros sur un poste Windows. Ils sont donc fréquemment utilisés pour déclencher une infection, télécharger une charge malveillante ou lancer un ransomware.

Que doit faire un utilisateur face à une pièce jointe suspecte ?

Il ne faut pas l’ouvrir, vérifier l’expéditeur et le contexte, demander confirmation par un autre canal si nécessaire et signaler le message au support ou au responsable informatique.

Comment une entreprise peut-elle bloquer ces fichiers ?

Elle peut filtrer les extensions dangereuses côté messagerie, durcir l’exécution sur les postes, maintenir l’antivirus actif, appliquer les mises à jour et sensibiliser les utilisateurs.

Le filtrage des pièces jointes suffit-il contre les ransomwares ?

Non. Il réduit une voie d’entrée, mais doit être complété par sauvegardes testées, EDR ou antivirus, MFA, restrictions d’exécution, mises à jour et supervision.

BoucheCousue peut-il auditer la protection email et poste ?

Oui. Nous pouvons vérifier les règles de messagerie, la sécurité Microsoft 365 ou Google Workspace, les politiques poste, l’antivirus, les sauvegardes et les procédures de réponse à incident.