Je suppose que nos lecteurs se souviennent encore de Stuxnet, un ver qui, selon différentes sources, a été développé conjointement par les États-Unis et Israël avec pour objectif de saboter le programme nucléaire iranien. Stuxnet possédait des ressources techniques très intéressantes et à la fois préoccupantes, mais ce n'était qu'une question de temps pour que des variantes au fonctionnement similaire apparaissent. C'est exactement ce que les chercheurs de Kaspersky ont découvert. Ce «malware sans fichiers» a la capacité de rester résident en mémoire sans laisser de traces, et il semble apprécier tout particulièrement les réseaux d'entreprise…
L'histoire a commencé avec Stuxnet, puis Duqu, et au milieu de l'année 2015, Duqu 2.0 a été découvert. Ce qui était à l'origine une technologie exclusive d'agences gouvernementales disposant d'un budget très élevé est maintenant arrivé entre les mains d'autres acteurs qui recherchent des résultats un peu plus tangibles… de l'argent, pour être précis. Les experts en sécurité appellent cette récente vague de malware «sans fichiers», car elle a pour priorité de rester résident en mémoire, sans laisser de traces sur les disques durs, ou de les cacher de la meilleure façon possible. Cette stratégie rend non seulement le malware presque invisible, mais oblige également à repenser toutes les techniques médico-légales traditionnelles.
Les chercheurs de Kaspersky expliquent que les infections sont encore plus difficiles à détecter en raison de l'utilisation d'outils considérés comme légitimes, comme par exemple Metasploit, Mimikatz, et même PowerShell de Windows. La société a également indiqué que les attaques ont affecté les réseaux d'au moins 140 organisations, dont la plupart sont des banques. Les États-Unis, la France, l'Équateur, le Kenya et le Royaume-Uni forment le Top 5 des pays les plus touchés. Une chose que Kaspersky n'a pas encore pu déterminer est de savoir si le responsable est un seul groupe ou s'il s'agit de plusieurs équipes en course pour voir qui a le plus de succès.
Fondamentalement, la fonction principale du malware (ou du moins l'une d'elles) est la récolte de mots de passe. Tout commence par l'injection en mémoire de Meterpreter (l'un des payloads de Metasploit) à l'aide de commandes PowerShell. Ensuite, le système infecté transmet les données à des serveurs contrôlés par l'attaquant avec l'outil NETSH. Et les privilèges nécessaires à ces actions sont extraits avec Mimikatz.
Dans le but de réduire son empreinte et d'éviter les journaux ou les fichiers abandonnés sur le disque dur, les attaquants «cachent» les commandes PowerShell dans le registre de Windows. Kaspersky a pu reconstituer le malware grâce au fait que l'un des contrôleurs de domaine infectés par Meterpreter n'a pas été redémarré.
Ce que Kaspersky doit encore déterminer, c'est comment le malware entre en premier lieu, mais il a déjà annoncé qu'il aura plus d'informations en avril, notamment la manière dont ces infections permettent de retirer de l'argent des distributeurs automatiques.
Par ailleurs, comme vous pouvez le voir ci-dessus, et pour ceux qui ont besoin d'en savoir plus sur le sujet, la société Comparitech a conçu un modèle utile pour comprendre comment Metasploit fonctionne, avec toutes les commandes nécessaires pour vérifier les vulnérabilités et comprendre le fonctionnement de la bête. Super pratique si vous devez faire face à ce malware !
