En général tout rançongiciel peut crypter tout ce à quoi l'utilisateur infecté a accès, comme tout autre logiciel malveillant peut écrire n'importe où en utilisant les autorisations du compte qui l'exécute. Cela ne veut pas dire qu'il devient actif pour les autres utilisateurs, mais cela peut affecter tous les partages auxquels l'utilisateur a accès.
Contre-mesures :
-
Prévenir avec une protection antivirus et un pare-feu, comme d'habitude.
-
Forcer tous les clients à installer régulièrement les mises à jour.
-
Les sauvegardes sont le moyen le plus puissant de gérer tous les ransomwares après l'infection. Finalement, certains de vos utilisateurs en auront un qui n'a pas encore été reconnu par votre protection antivirus. Avoir une sauvegarde à laquelle vos utilisateurs n'ont pas accès en écriture. Sinon, les sauvegardes sont inutiles, car le ransomware a également un accès égal pour écrire sur les sauvegardes.
Une sauvegarde hors ligne est le moyen le plus sûr d'y parvenir, mais peut ne pas être très pratique car vous devez en faire plus manuellement et n'oubliez pas de le faire régulièrement.
J'ai généralement une machine indépendante qui utilise des informations d'identification séparées pour accéder aux emplacements à sauvegarder. Là, j'ai une sauvegarde incrémentielle qui peut stocker toutes les modifications au fil des semaines ou des mois. C'est bon contre les rançongiciels et les erreurs des utilisateurs.
WannaCry utilise une vulnérabilité dans l'implémentation Windows de SMB :le protocole lui-même n'est pas vulnérable. Extrait d'un article de presse sur MalwareLess :
Les attaques WannaCry sont lancées à l'aide d'une exécution de code à distance SMBv2 dans le système d'exploitation Microsoft Windows. L'exploit EternalBlue a été rendu public via le vidage Shadowbrokers le 14 avril 2017 et corrigé par Microsoft le 14 mars. Cependant, de nombreuses entreprises et organisations publiques n'ont pas encore installé le correctif sur leurs systèmes.
Le correctif mentionné est MS17-010, Mise à jour de sécurité pour Microsoft Windows SMB Server (4013389):
Cette mise à jour de sécurité corrige des vulnérabilités dans Microsoft Windows. La plus grave des vulnérabilités pourrait permettre l'exécution de code à distance si un attaquant envoyait des messages spécialement conçus à un serveur Microsoft Server Message Block 1.0 (SMBv1).
Par conséquent, cela n'affecte pas Linux. Windows est également sécurisé après l'installation de la mise à jour. Cependant, s'il existe toujours un ordinateur client avec un Windows non corrigé, les données d'un partage peuvent ne pas être sécurisées.