Le monde des logiciels malveillants ?
Le paysage des logiciels malveillants ne cesse d’évoluer. De nouvelles familles apparaissent tandis que d’autres disparaissent. Certaines familles ont une durée de vie courte, tandis que d’autres restent actives pendant longtemps. Pour suivre cette évolution, nous nous appuyons à la fois sur les échantillons que nous détectons et sur nos efforts de surveillance, qui couvrent les botnets et les forums clandestins.
Découvert récemment ?
Au cours de nos recherches, nous avons découvert de nouveaux échantillons d’Emotet, un nouveau chargeur baptisé « DarkGate » et une nouvelle campagne d’infostealer LokiBot. Nous avons décrit ces trois éléments dans des rapports privés, dont cet article contient un extrait.
Si vous souhaitez en savoir plus sur notre service de signalement de logiciels malveillants, veuillez nous contacter à l’adresse crimewareintel@kaspersky.com.
DarkGate : Un Nouveau Venu dans le Monde Malveillant
En juin 2023, un développeur de logiciels malveillants bien connu a publié une annonce sur un forum populaire du dark web, se vantant d’avoir développé un chargeur sur lequel il travaillait depuis plus de 20 000 heures depuis 2017. Certaines des principales fonctionnalités, qui dépassaient la simple fonction de téléchargement, comprenaient notamment les suivantes :
- VNC caché
- Exclusion de Windows Defender
- Vol d’historique de navigation
- Proxy inversé
- Gestionnaire de fichiers
- Vol de jetons Discord
La liste complète des capacités annoncées est disponible dans notre rapport privé.
L’échantillon que nous avons obtenu ne dispose pas de toutes ces fonctionnalités, mais cela ne signifie pas grand-chose, car elles peuvent être activées ou désactivées dans le programme de construction. Cependant, nous avons pu reconstituer la chaîne d’infection, qui comporte quatre étapes, jusqu’au chargement de la charge finale : DarkGate lui-même.
LokiBot : L’Infostealer Persévérant
LokiBot est un infostealer apparu pour la première fois en 2016 et toujours actif aujourd’hui. Il est conçu pour voler des identifiants de diverses applications, telles que les navigateurs, les clients FTP, et autres. Récemment, nous avons détecté une campagne de phishing ciblant les entreprises de transport maritime et distribuant LokiBot.
Dans les cas que nous avons étudiés, les victimes ont reçu un e-mail semblant provenir d’un contact professionnel et indiquant des frais portuaires à payer. Un document Excel était joint à l’e-mail. Comme prévu, à l’ouverture du document, l’utilisateur était invité à activer les macros. Cependant, il s’agissait d’un avertissement frauduleux, car le document ne contenait aucune macro et tentait d’exploiter la CVE-2017-0199.
Cette vulnérabilité permet d’ouvrir un document distant en fournissant un lien. Cela entraîne le téléchargement d’un document RTF, qui exploite à son tour une autre vulnérabilité, à savoir la CVE-2017-11882. En exploitant cette autre vulnérabilité, LokiBot est téléchargé et exécuté.
Une fois exécuté, LokiBot collecte les identifiants de diverses sources et les enregistre dans une mémoire tampon à l’intérieur du logiciel malveillant, avant de les envoyer au C2. Les données sont envoyées via des requêtes POST compressées avec APLib. Après avoir envoyé des informations système, le logiciel malveillant reste à l’écoute de commandes C2 supplémentaires. Ces commandes peuvent être utilisées pour télécharger d’autres logiciels malveillants, exécuter un enregistreur de frappe, etc.