Iloveyou, WannaCry, Shadow Hammer: qui choisit les noms des virus informatiques?

Les virus informatiques sont bien souvent dotés de noms savoureux. Il s’agit-là d’un savant mélange de réglementation désuète, d’inspiration soudaine et de rigueur scientifique. 

« Ours vénéneux », « marteau de l’ombre », « envie de pleurer », « cœur qui saigne »… Ces curieuses expressions ne sont autres que la traduction littérale de noms ayant fait trembler le milieu de la cybersécurité. Ils désignent respectivement un groupe de hackers russes (Venomous Bear), un logiciel malveillant présent sur près d’un million d’ordinateurs Asus (Shadow Hammer), le rançongiciel le plus connu de l’Histoire (WannaCry), ainsi qu’une vulnérabilité touchant la sécurisation des échanges sur Internet (Heartbleed).  

Contrairement à la validation des emojis, aucune instance mondiale n’est chargée d’approuver les noms de virus informatiques. Cette lourde tâche incombe plutôt aux chercheurs en sécurité les ayant découverts. Et, en la matière, chacun a sa recette.

La grande majorité des milliers d’échantillons examinés chaque jour par les entreprises de cybersécurité se verront affublés d’un nom déterminé automatiquement par un algorithme, bien souvent à partir d’un mot qu’ils comportent dans leur code.  

Eviter l’offense

Le choix ne devient humain que pour les virus les plus sophistiqués et dévastateurs. Les chercheurs en sécurité ne sont tenus à aucune règle officielle pour attribuer ces noms. La seule tentative de standardisation des noms de virus date de près de trente ans et a échoué. Il s’agit du schéma de CARO (pour Computer Antivirus Research Organization), établi en 1991. Ce guide proposait d’accoler dans un même nom le type de virus à la plateforme qu’il visait et au nom de la famille de virus à laquelle il appartenait. Avec à l’arrivée des noms à rallonge, parfois inutilisables. 

Quelques lignes directrices issues de ce schéma subsistent néanmoins. « Parmi les règles implicites que suivent les chercheurs et qui découlent de CARO, restent l’interdiction d’utiliser le nom d’une personne, d’un lieu, d’une marque ou encore du groupe de hackers auquel l’attaque est attribuée, afin de ne pas leur faire de publicité », explique auprès de BFM Tech Bogdan Botezatu, directeur de la recherche et des rapports sur les menaces chez Bitdefender. « Interdiction également d’opter pour un mot vulgaire, obscène ou injurieux » précise-t-il.

« Mange tout », une boulangerie devenue virus

Pour le reste, le nom retenu relèvera de l’imagination des chercheurs en sécurité. Ils viendront parfois tirer leur inspiration de détails insignifiants du quotidien. 

« Michelangelo, le premier virus à avoir bénéficié d’une couverture médiatique en 1991, a été nommé ainsi car le chercheur a remarqué que la date de déclenchement de l’attaque correspondait à la date de naissance de Michel-Ange », rappelle David Emm, chercheur en sécurité chez Kaspersky.

« Certains noms peuvent parfois être très terre-à-terre », concède-t-il. « Je me rappelle notamment d’un chercheur ayant baptisé un virus « Mange tout », en référence à la boulangerie dans laquelle il allait tous les jours chercher un sandwich. »  

D’une manière générale, les analystes ont tendance à s’inspirer des caractéristiques du malware observé. Au début des années 2000, le ver informatique « ILOVEYOU » a été nommé ainsi en raison de son mode de propagation: il était envoyé par mail, dans ce qui s’apparentait à une lettre d’amour. Des milliers de PC avaient à l’époque été infectés en Europe.

« Le comportement du virus peut aussi être pris en compte », vient compléter Jean-Ian Boutin, chercheur en sécurité chez ESET. « Ainsi d' »industroyer », un malware que l’on a nommé ainsi récemment par contraction des mots « industry » et « destroyer ». Il venait en effet s’attaquer au contrôle des systèmes industriels, dont ceux de centrales électriques en Ukraine. »

Une course au nom

Qu’arrive-t-il lorsque plusieurs chercheurs mettent la main sur le même virus au même moment? Cela résulte bien souvent en l’attribution de plusieurs noms pour un seul et même échantillon. Le rançongiciel NotPetya, qui s’est propagé dans le monde entier en 2017- causant des dégâts irrémédiables chez Saint-Gobain et Auchan, porte ainsi les deux autres noms de Petyr et GoldenEye. 

David Emm voit en ce manque de concordance entre les entreprises de cybersécurité un « problème persistant » pour cette industrie, qui vient ajouter à la confusion ambiante. « Cette confusion vaut aussi pour les groupes de hackers. Le groupe de cyberespionnage russophone Turla est aussi connu sous le nom de Venomous Bear (ours vénéneux, ndlr), Waterbug (blatte orientale) ou encore Snake ou Uroboros », souligne-t-il.

De même pour Sofacy, que l’on dit proche des services de renseignement russes et que l’on connaît en tant que Sednit, APT28, Fancy Bear ou encore Strontium. « Les chercheurs s’efforcent néanmoins de plus en plus de se conformer aux noms déjà attribués, à moins qu’il y ait vraiment une bonne raison de faire autrement », note David Emm. Reste dès lors à savoir qui se positionnera le premier.

bmftv