Windows Defender a bloqué une gigantesque cyberattaque ciblant 400 000 machines

Publié le 8 mars 2018

Microsoft a révélé que Windows Defender, son logiciel de sécurité natif avait stoppé une cyberattaque massive de distribution de logiciels malveillants par laquelle des hackers avait tenté d’infecté pas moins de 400 000 machines. Cette cyberattaque perpétrée le 6 mars aurait duré près de 12 heures et diffusait un logiciel de minage de cryptomonnaie.

Windows Defender dopé au Machine Learning

Selon la firme de Redmond, les cybercriminels ont utilisés le logiciel malveillant Dofoil, un outil de téléchargement de malware très répandu. Il est également connu sous le nom de Smoke Loader.

Mark Simos, un expert en cybersécurité de Microsoft affirme que Windows Defender a bloqué le 6 mars en début de journée, plus de 80 000 attaques de différents chevaux de Troie sophistiqués utilisant des techniques très avancées d’injection de malware et de persistance sur le système. Plus tard dans cette même journée, 400 000 cas ont été enregistrés, dont 73 % en Russie.

Ce blocage quasi immédiat de la cyberattaque est à attribuer à la technologie de machine learning de Windows Defender qui analyse le comportement des logiciels malveillants. Simos prétend que l’analyse comportementale alimentée par le machine learning dans le cloud a permis d’identifier les malware en quelques millisecondes. Leur blocage n’aurait pris que quelques minutes.

Windows Defender et le machine learning  – Image Microsoft Secure

Le cryptojacking rapporte des millions

Le logiciel injecté permet de miner de l’Electroneum à distance, une cryptomonnaie très populaires chez les hackers. Nous avions vu dans un précédent article que des cybercriminels avait en 2017, gagné près de 7 millions de dollars grâce à des cyberattaques comme celle détectée par Microsoft.

Les utilisateurs de Windows 10 mais également Windows 8.1 et 7 utilisant Windows Defender ou Mircosoft Security Essentials sont protégés contre cette cyberattaque. Notons néanmoins que d’autres solutions de sécurité tierces détectent et bloquent elles aussi Dofoil (Smoke Loader) et ses variantes actives depuis 2014.

Source