Unit221B et Krebs transforment l'interdiction russe du rançongiciel en « vaccin » gratuit pour PC

Lors de l'attaque DarkSide de mai 2021 qui a paralysé le Colonial Pipeline, Krebs a relevé que pratiquement toutes les souches de rançongiciels russes refusent de s'installer sur les machines Windows équipées d'un clavier russe ou ukrainien — un garde-fou intégré qui protège les criminels contre les forces de l'ordre de leur propre pays. Les lecteurs voulaient savoir si des utilisateurs ordinaires pouvaient exploiter cette règle.

Utiliser la propre liste d'exclusion nationale du logiciel malveillant comme vaccin : faire en sorte que chaque PC Windows paraisse russe ou ukrainien afin que le contrôle « ne pas installer » des rançongiciels russes l'épargne.

KrebsOnSecurity a expliqué la méthode : installer une disposition de clavier d'un pays de la CEI, ou exécuter le script de commandes Windows cliquable de deux lignes produit par Lance James d'Unit221B, qui ajoute une référence à la langue russe dans les clés de registre précises que vérifient les logiciels malveillants, sans télécharger les fichiers de langue de Microsoft. Allison Nixon a présenté l'astuce de façon stratégique : si suffisamment de personnes l'adoptaient, les pirates russes seraient confrontés au choix entre perdre la protection juridique que leur offre le fait de rester hors de leur propre territoire ou perdre des revenus.

L'explication est devenue l'un des articles de sécurité les plus commentés de mai 2021 — 604 points et 278 commentaires sur Hacker News, plus 147 commentaires sur le site — et le script de James a circulé comme la version gratuite et en une étape de la solution. Nixon soutenait qu'une adoption massive forcerait les criminels à affaiblir leur propre bouclier juridique ou à accepter des pertes, tandis que l'article précisait explicitement que la défense ne fonctionne que contre les logiciels malveillants comportant une exclusion de la CEI et qu'une variante récente de DarkSide analysée par Mandiant contournait entièrement le contrôle de langue.

En mai 2021, alors que le gang de rançongiciels DarkSide paralysait près de 8 850 km du Colonial Pipeline et faisait grimper les prix du carburant aux États-Unis, Brian Krebs a pointé une bizarrerie de l'économie criminelle : pratiquement tous les rançongiciels russophones refusent de s'installer sur les machines Windows dotées d'une disposition de clavier russe ou ukrainienne. La liste d'exclusion couvre la Communauté des États indépendants, et elle existe pour que les affiliés ne créent jamais de victimes dans leur propre pays — où la police n'enquête que lorsqu'une victime locale porte plainte.

Le trait de génie de Krebs a été de renvoyer cette règle aux défenseurs : si les logiciels malveillants s'excluent eux-mêmes des machines qui paraissent russes, faisons en sorte que toutes les machines paraissent russes. Son article montrait aux lecteurs comment installer un clavier d'un pays de la CEI, et Lance James d'Unit221B a livré un script de commandes de deux lignes qui ajoute une référence à la langue russe dans les clés de registre exactes que vérifient les logiciels malveillants. Allison Nixon l'a qualifié de « vaccin » dont la vraie valeur était stratégique : une adoption massive forcerait les pirates russes à choisir entre conserver la protection juridique en évitant les machines nationales, ou abandonner le contrôle et risquer des poursuites.

L'article est devenu l'une des histoires de sécurité les plus lues du mois — 604 points et 278 commentaires sur Hacker News, plus 147 sur l'article lui-même — les lecteurs installant des dispositions, partageant le script et débattant de la capacité des criminels à s'adapter. Les réserves faisaient partie du message : l'astuce est sans effet contre les logiciels malveillants dépourvus d'exclusion de la CEI, elle ne remplace pas une défense en profondeur, et Mandiant a constaté qu'une variante récente de DarkSide avait déjà abandonné le contrôle de langue. Reste que, en tant qu'étape gratuite de deux minutes, elle offrait aux utilisateurs ordinaires une véritable défense et faisait payer aux attaquants chaque contournement.

Le vaccin ne nécessite aucun nouveau produit de sécurité : il retourne contre eux la propre liste « ne pas infecter » des criminels, qui existe déjà dans leur code.

Un script de registre de deux lignes a rendu la solution trivialement adoptable, transformant une idée ingénieuse en quelque chose que tout utilisateur pouvait exécuter l'après-midi même.

Le contexte du Colonial Pipeline a donné à l'astuce son moment : l'attaque par rançongiciel la plus visible depuis des années a rendu une astuce défensive gratuite immédiatement digne d'intérêt.

Le cadrage stratégique — forcer les criminels à échanger leur protection juridique contre des revenus — a fait de l'astuce plus qu'une simple hygiène personnelle, il en a fait un geste collectif.

Des réserves honnêtes (tous les logiciels malveillants ne font pas ce contrôle, des variantes l'abandonnent déjà) ont maintenu le conseil suffisamment crédible pour se diffuser auprès d'un public de sécurité sceptique.

La règle de sécurité d'un adversaire est une surface de contrôle : les criminels restent hors de leur propre territoire pour échapper à la police locale, donc les défenseurs qui simulent ce territoire forcent les attaquants à affaiblir leur bouclier ou à perdre des revenus.

L'astuce est devenue un point de référence dans le débat sur les rançongiciels qui a suivi le Colonial Pipeline : DarkSide a annoncé sa fermeture après la saisie de ses serveurs et de ses bitcoins, et la défense par contrôle de langue a circulé comme une solution provisoire gratuite tandis que les défenseurs débattaient de ses limites. Les commentateurs ont sondé les faiblesses — vérifier quel clavier est actif, surveiller quand une disposition a été installée, abandonner entièrement le contrôle — ce que Nixon présentait comme l'échange que le vaccin était conçu pour imposer. L'article est resté en ligne et commenté, explication durable de la façon dont la règle géographique d'un criminel est devenue la défense de tous.