malware comme un service qui vole les données, contrôle l'équipement et dérange les victimes avec le frankware

Ces derniers mois, un nouvel acteur est apparu dans le paysage de la menace : un service de malware offert en tant que produit, promu sur des canaux publics tels que Telegram et YouTube et conçu pour transformer toute personne ayant une intention criminelle en un opérateur capable d'espionner, de voler des références et de contrôler l'équipement à distance. Il s'agit d'une offre de "malware-as-a-service" (MaaS) qui combine des fonctions d'info-volant sérieux avec une collection de tricks provocateurs conçus pour déranger ou confondre la victime.

Les chercheurs en sécurité qui ont analysé cette famille de menaces ont documenté que le projet a été lancé au début de l'année et fonctionne avec un système d'abonnement de niveau, ce qui facilite l'accès à différents degrés de fonctionnalité comme payé. Dans leur analyse technique, les spécialistes Kaspersky décrivent que la pièce malveillante partage de nombreux éléments de conception avec une autre menace connue (souvent appelée WebRAT ou Salat Stealer), de l'interface de contrôle à la base dans la langue Go et le modèle de marketing basé sur les robots et les canaux automatisés. Vous pouvez lire le rapport technique de Kaspersky ici: Kaspersky - Cristal RAT.

Dans l'avion fonctionnel, les logiciels malveillants offrent plusieurs capacités typiques d'accès à distance Trojan et info-stealers: exécution de commande à distance, transfert de fichiers, navigation du système de fichiers et télécommande par VNC intégré. Il intègre également des modules d'espionnage qui permettent la capture audio et vidéo à partir de l'ordinateur infecté, ainsi qu'un enregistreur de clé qui transmet des impulsions en temps réel au serveur de contrôle. Pour les utilisateurs de cryptomoneda, il comprend également un clipper : il détecte les adresses de portefeuille copiées dans le clipboard par des expressions régulières et les remplace par des adresses contrôlées par l'attaquant.

D'un point de vue technique, les créateurs ont veillé à protéger leur chaîne de distribution et leur communication avec leurs serveurs. Le générateur de charge utile vous permet de personnaliser les exécutables et d'appliquer des géoblocages, et les logiciels malveillants incorporent des mécanismes anti-analyse tels que la détection d'environnement virtualisé, la vérification par procuration et l'anti-débogage. Les fichiers générés sont compressés avec zlib et cryptés avec le chiffrement de flux ChaCha20 pour rendre difficile l'inspection et la détection par signatures; plus d'informations sur ces technologies sont disponibles dans les articles techniques sur zlib et ChâCha20.

La communication avec le panneau de contrôle de l'opérateur se fait sur WebSocket, un canal qui facilite les connexions persistantes et bidirectionnelles entre les logiciels malveillants et leur infrastructure, et qui permet à l'opérateur de connaître le profil du système compromis et de tenir un registre des infections. Pour le vol d'informations de navigateur, le projet utilise des outils spécialisés pour extraire des données de navigateurs à base de chrome, tels que Chrome, Yandex et Opera, et recueille également des informations et des données d'applications de bureau populaires entre les utilisateurs et les joueurs, comme Steam, Discord et Telegram propre client.

Au-delà des fonctions classiques d'un RAT, ce produit se distingue par l'ajout d'un paquet de "prankware" : commandes visant à causer de l'inconfort ou interrompre le travail de la victime. Parmi les actions documentées par les analystes sont de changer le fond d'écran, forcer, inverser ou tourner l'orientation de l'écran, désactiver les entrées de clavier ou de souris, masquer les éléments d'interface tels que les icônes ou la barre des tâches, bloquer le gestionnaire des tâches, et afficher de fausses notifications ou des fenêtres de chat pour tromper ou distraire l'utilisateur. Bien que ces caractéristiques n'augmentent pas directement la capacité de monétiser l'intrusion, elles le rendent plus frappant pour les utilisateurs peu techniques et peuvent être utilisées pour distraire la victime pendant que les modules de vol de données agissent en arrière-plan.

Selon les analystes, la combinaison d'une interface accessible, d'un constructeur automatisé et d'options de personnalisation attire des acteurs peu techniques qui, autrement, ne pourraient pas utiliser ces outils. Le véritable danger est que le modèle MaaS réduit la barrière d'entrée et multiplie le nombre de personnes capables de mener des campagnes de vol de données et de fraude., quelque chose que nous voyons depuis des années avec d'autres variantes de services illicites sur le web sombre et les canaux de messagerie.

Pour mieux comprendre le contexte et les techniques qui utilisent ce type de menace, il est utile de se référer aux cadres de référence publics qui cataloguent les tactiques et les techniques d'intrusion. Le cadre MITRE ATT & CK offre un inventaire des techniques utilisées par les adversaires, de la saisie d'entrées aux techniques d'exfiltration et d'évitement, et peut servir de guide aux professionnels de la sécurité : MITRE ATT & CK.

Que peuvent faire les utilisateurs et les organisations pour réduire les risques? Les principes de base de l'hygiène numérique restent les plus efficaces : méfier et non ouvrir les pièces jointes ou exécutables provenant de sources non vérifiées, maintenir le système d'exploitation et les applications à jour, utiliser des solutions reconnues de détection et d'antivirus, et appliquer l'authentification multifactorielle dans les services critiques. Dans le cas des utilisateurs manipulant des cryptomones, il est toujours approprié de vérifier les adresses manuellement avant de procéder à des transferts et d'envisager d'utiliser des portefeuilles de matériel pour atténuer le risque de clippers dans le presse-papiers.

D'un point de vue organisationnel, il convient d'investir dans des solutions qui détectent des comportements anormaux (p. ex., connexions suspectes de WebSocket à partir de postes de travail, processus qui accèdent à de multiples applications de messagerie ou de navigateur, ou activité de keylogging), ainsi que des politiques de segmentation du réseau et de contrôle des applications pour limiter l'exposition. Les équipes d'intervention en cas d'incident devraient maintenir des procédures d'isolement des machines compromises et d'analyse des appareils avec des outils médico-légaux qui peuvent traiter des charges compressées et cryptées.

L'émergence de services qui intègrent des fonctionnalités avancées dans des outils faciles à utiliser est une tendance inquiétante car elle démocratise la capacité de commettre des crimes dans le cyberespace. La prévention et l'éducation restent la première ligne de défense : un utilisateur informé et des politiques de sécurité raisonnables compliquent considérablement le succès de ces attaques.

Pour ceux qui veulent approfondir l'analyse technique du cas décrit, le rapport Kaspersky fournit une description détaillée des capacités, de la télémétrie et des écrans de panneaux que les opérateurs utilisent, et est un bon point de départ: Kaspersky - Cristal Analyse X. De plus, la documentation publique sur les méthodes de cryptage et de compression citées dans l'analyse permet de comprendre pourquoi les charges utiles peuvent être plus difficiles à inspecter : ChâCha20 et zlib.

Bref, la combinaison de fonctions de vol de données et d'éléments "joke" fait de cette famille RAT une menace polyvalente: capable d'espionner et d'exfilter des informations, tout en causant des interruptions ou de la confusion. La meilleure réponse reste un mélange de contrôles techniques, de formation continue et d'attitude préventive pour traiter le contenu et les téléchargements de sources non vérifiées.