Le 12 mars 2019, une infection virale touchait 10 % du parc du CHU de Montpellier, à Gui de Chauliac (l’un des sept principaux sites de l’établissement hospitalier), soit environ 640 ordinateurs. Jérôme Euvrard, responsable des systèmes d’information au CHU détaille : “Non détectable par l’antivirus, il s’est propagé sur un groupe de postes de travail”. Il précise d’ailleurs : “Grâce aux logs, nous avons pu remonter au « patient zéro » et connaissons donc la source de l’infection, mais préférons ne pas communiquer là-dessus”.
Le virus en question ne ressemble pas au crypto-virus Wannacry. Responsable sécurité des SI à l’établissement, Vincent Templier apporte des précisions : “Il s’agit d’un virus simple, de type Qbot. Ce n’est pas un ransomware et il n’altère ni ne crypte les données, mais essaie de récupérer des identifiants et des mots de passe en vue d’une tentative d’attaque”. Un virus “financier”, destiné aux banques : “Le Qbot tente de collecter tout ce qui ressemble à un relevé d’identité bancaire, un nom, un prénom, un numéro de carte bancaire… Ce virus n’est donc pas programmé pour voler des données de santé”, poursuit Vincent Templier.
Une détection via une latence anormale du SI
Toujours est-il que l’infection avait paralysé le fonctionnement du SI, selon le RSSI : “Le Qbot essaie une multitude de combinaisons d’identifiant et de mot de passe pour tenter d’accéder à Internet, ce qui a surchargé le serveur”, d’après Vincent Templier. L’équipe a rapidement compris qu’un problème était survenu : “Nous avons observé un temps de latence anormal et en avons tout de suite analysé la source”.