{"id":4410,"date":"2023-10-31T16:47:03","date_gmt":"2023-10-31T15:47:03","guid":{"rendered":"https:\/\/www.mediaplateforme.com\/fr\/?p=4410"},"modified":"2023-10-31T16:47:03","modified_gmt":"2023-10-31T15:47:03","slug":"stripedfly-un-mineur-espion-auto-replicable-cachant-un-code-sophistique","status":"publish","type":"post","link":"https:\/\/www.mediaplateforme.com\/fr\/stripedfly-un-mineur-espion-auto-replicable-cachant-un-code-sophistique\/","title":{"rendered":"StripedFly : un mineur espion auto-r\u00e9plicable cachant un code sophistiqu\u00e9"},"content":{"rendered":"

Les experts de Kaspersky ont d\u00e9couvert un malware tr\u00e8s sophistiqu\u00e9 jusqu\u2019alors inconnu baptis\u00e9 StripedFly, qui s\u2019est propag\u00e9 \u00e0 l\u2019\u00e9chelle mondiale. Depuis au moins 2017, StripedFly a affect\u00e9\u00a0 plus d’un million de victimes. Agissant initialement comme un mineur de crypto-monnaie, il s’est av\u00e9r\u00e9 \u00eatre un malware complexe dot\u00e9 d’une infrastructure multifonctionnelle auto-r\u00e9plicable.<\/strong><\/p>\n

En 2022, l’\u00e9quipe Global Research & Analysis Team (GReAT) de Kaspersky a fait deux d\u00e9couvertes inattendues au sein du processus WININIT.EXE, provoqu\u00e9es par les s\u00e9quences de code observ\u00e9es pr\u00e9c\u00e9demment dans le malware Equation. En activit\u00e9 depuis au moins 2017, StripedFLy avait r\u00e9ussi \u00e0 contourner les analyses ant\u00e9rieures, ayant \u00e9t\u00e9 identifi\u00e9 \u00e0 tort comme un mineur de crypto-monnaie. Apr\u00e8s un examen approfondi du probl\u00e8me, il a \u00e9t\u00e9 d\u00e9couvert que le mineur de crypto-monnaie n’\u00e9tait qu’un composant d’une entit\u00e9 beaucoup plus grande : une infrastructure malveillante complexe, multiplateforme et multiplugin.<\/p>\n

La charge du logiciel malveillant comprend plusieurs modules, conf\u00e9rant \u00e0 l’attaquant la capacit\u00e9 d’agir comme un APT, un mineur de crypto-monnaie, voire m\u00eame comme un groupe de ransomware. Cette polyvalence \u00e9largit les motivations potentielles de l’attaquant, passant de la recherche de gains financiers \u00e0 l\u2019espionnage. On note en particulier que la crypto-monnaie Monero min\u00e9e par ce module a atteint sa valeur maximale de 542,33 dollars le 9 janvier 2018, alors que sa valeur en 2017 \u00e9tait d’environ 10 dollars. En 2023, elle maintient sa valeur \u00e0 environ 150 dollars. Les experts de Kaspersky soulignent le r\u00f4le pr\u00e9pond\u00e9rant du module de minage, qui demeure le principal facteur permettant au malware de rester ind\u00e9tect\u00e9 sur une dur\u00e9e prolong\u00e9e.<\/p>\n

L’attaquant \u00e0 l’origine de cette op\u00e9ration a d\u00e9velopp\u00e9 des comp\u00e9tences avanc\u00e9es pour espionner discr\u00e8tement ses victimes. Le logiciel malveillant recueille les informations d’identification toutes les deux heures, d\u00e9robant des donn\u00e9es sensibles telles que les identifiants de connexion au site et au WIFI, ainsi que les donn\u00e9es personnelles de la victime, telles que son nom, son adresse, son num\u00e9ro de t\u00e9l\u00e9phone, l\u2019entreprise o\u00f9 elle travaille et son intitul\u00e9 de poste. En outre, le logiciel malveillant peut effectuer des captures d’\u00e9cran sur l’appareil de la victime sans \u00eatre d\u00e9tect\u00e9, prendre un contr\u00f4le important sur la machine et m\u00eame enregistrer les entr\u00e9es du microphone.<\/p>\n

Le vecteur d’infection initial est rest\u00e9 inconnu jusqu’\u00e0 ce que l’enqu\u00eate approfondie de Kaspersky r\u00e9v\u00e8le l’utilisation d’un exploit EternalBlue ‘SMBv1’ sur mesure pour infiltrer les syst\u00e8mes des victimes. Malgr\u00e9 l\u2019annonce publique de la vuln\u00e9rabilit\u00e9 EternalBlue en 2017, et la publication ult\u00e9rieure par Microsoft d’un correctif (d\u00e9sign\u00e9\u00a0MS17-010<\/a>), la menace qu’elle pose reste importante en raison du nombre \u00e9lev\u00e9 d\u2019utilisateurs n’ayant pas mis \u00e0 jour leurs syst\u00e8mes.<\/p>\n

Lors de l’analyse technique de la campagne, les experts de Kaspersky ont observ\u00e9 des similitudes avec le malware Equation. Il s’agit notamment d’indicateurs techniques tels que les signatures associ\u00e9es au malware Equation, ainsi que le style de codage et les pratiques ressemblant \u00e0 ceux observ\u00e9s dans le malware StraitBizzare (SBZ). D’apr\u00e8s les compteurs de t\u00e9l\u00e9chargement affich\u00e9s par le r\u00e9f\u00e9rentiel o\u00f9 le logiciel malveillant est h\u00e9berg\u00e9, le nombre estim\u00e9 de cibles de StripedFly a atteint plus d’un million de victimes dans le monde entier.<\/p>\n

L\u2019ampleur des efforts consacr\u00e9s \u00e0 la cr\u00e9ation de cette infrastructure est vraiment impressionnante, et sa d\u00e9couverte a \u00e9t\u00e9 surprenante. L’adaptabilit\u00e9 et l’\u00e9volution constante des acteurs de la menace constituent un d\u00e9fi permanent pour nous. C\u2019est pourquoi il est important pour nous, chercheurs, de pers\u00e9v\u00e9rer dans nos efforts de d\u00e9tection et de neutralisation de cybermenaces sophistiqu\u00e9es, et pour les clients de ne pas oublier l\u2019importance d\u2019une protection compl\u00e8te\u00a0\u00bb<\/em>,\u00a0commente Sergey Lozhkin, chercheur principal en s\u00e9curit\u00e9 au sein de l’\u00e9quipe Global Research & Analysis Team\u00a0 (GReAT) de Kaspersky.<\/strong><\/p>\n

Pour en savoir plus sur StripedFly, consultez\u00a0Securelist.com.<\/a><\/p>\n

Afin d’\u00e9viter d’\u00eatre victime d’une attaque cibl\u00e9e par un acteur de menace connu ou inconnu, les chercheurs de Kaspersky recommandent de mettre en \u0153uvre les mesures suivantes :<\/strong><\/p>\n