L'un des aspects les plus critiques de la sécurité informatique est que les développeurs malveillants ne restent jamais les bras croisés (et ils ne se sont jamais arrêtés). Ce qui semblait impossible il y a quelques années est aujourd'hui une nouvelle méthode d'infection, ou l'optimisation d'une méthode existante. Les dernières nouvelles viennent de Trend Micro, qui a découvert un trojan capable d'attaquer à l'aide d'un document PowerPoint spécial contenant un lien malveillant qu'il n'est pas nécessaire de cliquer. Le simple passage du curseur sur ce lien suffit.
Le home banking et l'administration électronique des fonds ne cessent de gagner du terrain, ce qui fait de l'utilisateur final une cible de plus en plus tentante pour certains développeurs malveillants prêts à organiser des campagnes plus précises. Malgré l'énorme dégât qu'il a causé, les responsables de WannaCry n'ont pas réussi à récolter plus de 75 000 dollars. Autrement dit, c'est trop d'attention pour peu d'argent. Bien que nous sachions tous que ce n'est qu'une question de temps avant que la prochaine grande attaque de ransomware n'embrase une partie du Web, il n'est pas déraisonnable d'imaginer une série de campagnes plus subtiles et plus silencieuses entre-temps.
La découverte de Trend Micro
L'une d'elles vient d'être découverte par l'équipe de Trend Micro sur le territoire européen. Le downloader, détecté par l'entreprise sous les noms TROJ_POWHOV.A et P2KM_POWHOV.A, présente à l'utilisateur un document PowerPoint chargé avec une image ou un morceau de texte lié. Le plus frappant est que l'utilisateur n'a pas besoin de cliquer sur ce lien ; le simple passage du curseur suffit pour déclencher l'installation (à l'aide d'une commande PowerShell) d'un trojan bancaire connu sous le nom d'OTLARD ou Gootkit. Ce trojan a attaqué en France il y a quelques années en distribuant du spam judiciaire, et sa capacité à voler des identifiants bancaires est très bien documentée.
Trend Micro a indiqué que cette nouvelle campagne n'était qu'un « blip » sur son radar, avec un nombre limité d'infections en cinq jours. Cependant, cela n'a rien d'extraordinaire (le plan est de réduire son empreinte pour compliquer la tâche des chercheurs), et la première impression est qu'il s'agit d'un test de vol. Maintenant, la question est : comment nous défendre ?
Comment se protéger ?
Trend Micro a confirmé que le trojan ne fonctionne pas dans PowerPoint Online, ni en mode Web d'Office 365, mais il peut affecter le reste. La première ligne de défense est de maintenir activée la fonction Vue protégée dans Office, et d'appliquer un vote de non-confiance à ce contenu (un courriel inconnu avec une pièce jointe PowerPoint cherche probablement des ennuis). Microsoft pourrait bien publier un correctif général dans le but de minimiser ou d'annuler complètement son impact, et j'imagine que les entreprises de sécurité feront les ajustements correspondants dans leurs produits. Nous devons rester vigilants.
