Une souche avanc\u00e9e de malware se faisant passer pour un mineur de cryptomonnaie a r\u00e9ussi \u00e0 passer inaper\u00e7ue pendant plus de cinq ans, infectant ainsi pas moins d’un million d’appareils dans le monde.<\/p>\n
C’est ce que r\u00e9v\u00e8lent les conclusions de Kaspersky, qui a donn\u00e9 \u00e0 la menace un nom de code. Ray\u00e9Mouche<\/strong>le d\u00e9crivant comme un \u00ab\u00a0cadre modulaire complexe prenant en charge \u00e0 la fois Linux et Windows\u00a0\u00bb.<\/p>\n Le fournisseur russe de cybers\u00e9curit\u00e9, qui a d\u00e9tect\u00e9 les \u00e9chantillons pour la premi\u00e8re fois en 2017, a d\u00e9clar\u00e9 que le mineur faisait partie d’une entit\u00e9 beaucoup plus grande qui utilise un exploit EternalBlue SMBv1 personnalis\u00e9 attribu\u00e9 au groupe Equation afin d’infiltrer les syst\u00e8mes accessibles au public.<\/p>\n Le shellcode malveillant, fourni via l’exploit, a la capacit\u00e9 de t\u00e9l\u00e9charger des fichiers binaires \u00e0 partir d’un r\u00e9f\u00e9rentiel Bitbucket distant ainsi que d’ex\u00e9cuter des scripts PowerShell. Il prend \u00e9galement en charge une collection de fonctionnalit\u00e9s extensibles de type plugin pour collecter des donn\u00e9es sensibles et m\u00eame se d\u00e9sinstaller.<\/p>\n Le shellcode de la plateforme est inject\u00e9 dans le Processus wininit.exe<\/a>un processus Windows l\u00e9gitime d\u00e9marr\u00e9 par le gestionnaire de d\u00e9marrage (BOOTMGR) et qui g\u00e8re le initialisation<\/a> de diverses prestations<\/a>.<\/p>\n “La charge utile du malware elle-m\u00eame est structur\u00e9e comme un code ex\u00e9cutable binaire monolithique con\u00e7u pour prendre en charge des modules enfichables afin d’\u00e9tendre ou de mettre \u00e0 jour ses fonctionnalit\u00e9s”, chercheurs en s\u00e9curit\u00e9 Sergey Belov, Vilen Kamalov et Sergey Lozhkin. dit<\/a> dans un rapport technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Il est \u00e9quip\u00e9 d’un tunnel r\u00e9seau TOR int\u00e9gr\u00e9 pour la communication avec les serveurs de commandes, ainsi que de fonctionnalit\u00e9s de mise \u00e0 jour et de livraison via des services de confiance tels que GitLab, GitHub et Bitbucket, tous utilisant des archives crypt\u00e9es personnalis\u00e9es.”<\/p>\n D’autres modules d’espionnage notables lui permettent de collecter des informations d’identification toutes les deux heures, de capturer des captures d’\u00e9cran sur l’appareil de la victime sans d\u00e9tection, d’enregistrer l’entr\u00e9e du microphone et de d\u00e9marrer un proxy inverse pour ex\u00e9cuter des actions \u00e0 distance.<\/p>\n Une fois implant\u00e9, le logiciel malveillant d\u00e9sactive le protocole SMBv1 sur l’h\u00f4te infect\u00e9 et propage le logiciel malveillant \u00e0 d’autres machines \u00e0 l’aide d’un module de vermifugation via SMB et SSH, en utilisant les cl\u00e9s r\u00e9colt\u00e9es sur les syst\u00e8mes pirat\u00e9s.<\/p>\n StripeFly obtient la persistance soit en modifiant le registre Windows, soit en cr\u00e9ant des entr\u00e9es du planificateur de t\u00e2ches si l’interpr\u00e9teur PowerShell est install\u00e9 et qu’un acc\u00e8s administratif est disponible. Sous Linux, la persistance est obtenue au moyen d’un service utilisateur systemd, d’un fichier .desktop d\u00e9marr\u00e9 automatiquement ou en modifiant les fichiers \/etc\/rc*, profile, bashrc ou inittab.<\/p>\n Un mineur de crypto-monnaie Monero est \u00e9galement t\u00e9l\u00e9charg\u00e9 qui exploite les requ\u00eates DNS sur HTTPS (DoH) pour r\u00e9soudre les serveurs du pool, ajoutant ainsi une couche suppl\u00e9mentaire de furtivit\u00e9 aux activit\u00e9s malveillantes. Il a \u00e9t\u00e9 estim\u00e9 que le mineur est utilis\u00e9 comme leurre pour emp\u00eacher les logiciels de s\u00e9curit\u00e9 de d\u00e9couvrir toute l’\u00e9tendue des capacit\u00e9s du malware.<\/p>\n Afin de minimiser l’empreinte, les composants malveillants qui peuvent \u00eatre d\u00e9charg\u00e9s sont h\u00e9berg\u00e9s sous forme de binaires crypt\u00e9s sur divers services d’h\u00e9bergement de r\u00e9f\u00e9rentiels de code tels que Bitbucket, GitHub ou GitLab.<\/p>\n Par exemple, le r\u00e9f\u00e9rentiel Bitbucket exploit\u00e9 par l’acteur malveillant depuis juin 2018 comprend des fichiers ex\u00e9cutables capables de servir la charge utile d’infection initiale sur Windows et Linux, de rechercher de nouvelles mises \u00e0 jour et, finalement, de mettre \u00e0 jour le logiciel malveillant.<\/p>\n La communication avec le serveur de commande et de contr\u00f4le (C2), h\u00e9berg\u00e9 sur le r\u00e9seau TOR, s’effectue \u00e0 l’aide d’une impl\u00e9mentation l\u00e9g\u00e8re et personnalis\u00e9e d’un client TOR qui ne repose sur aucune m\u00e9thode document\u00e9e publiquement.<\/p>\n “Le niveau de d\u00e9vouement d\u00e9montr\u00e9 par cette fonctionnalit\u00e9 est remarquable”, ont d\u00e9clar\u00e9 les chercheurs. “L’objectif de cacher \u00e0 tout prix le serveur C2 a conduit au d\u00e9veloppement d’un projet unique et long : la cr\u00e9ation de son propre client TOR.”<\/p>\n Une autre caract\u00e9ristique frappante est que ces r\u00e9f\u00e9rentiels agissent comme des m\u00e9canismes de repli permettant au malware de t\u00e9l\u00e9charger les fichiers de mise \u00e0 jour lorsque sa source principale (c’est-\u00e0-dire le serveur C2) ne r\u00e9pond plus.<\/p>\n Kaspersky a d\u00e9clar\u00e9 avoir d\u00e9couvert une famille de ransomwares appel\u00e9e ThunderCrypt qui partage d’importants chevauchements de code source avec StripeFly, \u00e0 l’exception de l’absence du module d’infection SMBv1. ThunderCrypt aurait \u00e9t\u00e9 utilis\u00e9 contre des cibles \u00e0 Taiwan en 2017.<\/p>\n Les origines de StripeFly restent actuellement inconnues, bien que la sophistication du cadre et ses parall\u00e8les avec EternalBlue pr\u00e9sentent toutes les caract\u00e9ristiques d’un acteur de menace persistante avanc\u00e9e (APT).<\/p>\n Il convient de souligner que m\u00eame si la fuite de l’exploit EternalBlue par Shadow Brokers a eu lieu le 14 avril 2017, la premi\u00e8re version identifi\u00e9e de StripeFly incorporant EternalBlue remonte au 9 avril 2016. Depuis la fuite, l’exploit EternalBlue a \u00e9t\u00e9 r\u00e9utilis\u00e9 par des groupes de piratage nord-cor\u00e9ens et russes pour propager le Vouloir pleurer<\/a> et Petia<\/a> malware.<\/p>\n Cela dit, il existe \u00e9galement des preuves que des groupes de piratage chinois pourraient avoir eu acc\u00e8s \u00e0 certains des exploits du groupe Equation avant qu’ils ne soient divulgu\u00e9s en ligne, comme l’a r\u00e9v\u00e9l\u00e9 Check Point en f\u00e9vrier 2021.<\/p>\n Les similitudes avec les logiciels malveillants associ\u00e9s au groupe Equation, a d\u00e9clar\u00e9 Kaspersky, se refl\u00e8tent \u00e9galement dans le style de codage et les pratiques ressemblant \u00e0 celles observ\u00e9es dans D\u00c9TROITBIZARRE<\/a> (SBZ<\/a>), un autre plateforme de cyberespionnage<\/a> exerc\u00e9 par le collectif antagoniste pr\u00e9sum\u00e9 li\u00e9 aux \u00c9tats-Unis.<\/p>\n Ce d\u00e9veloppement intervient pr\u00e8s de deux ans apr\u00e8s que des chercheurs du laboratoire chinois Pangu ont d\u00e9taill\u00e9 une porte d\u00e9rob\u00e9e \u00ab de premier plan \u00bb appel\u00e9e Bvp47 qui aurait \u00e9t\u00e9 utilis\u00e9e par l’Equation Group sur plus de 287 cibles couvrant plusieurs secteurs dans 45 pays.<\/p>\n Il va sans dire qu\u2019un aspect crucial de la campagne qui reste un myst\u00e8re \u2013 sauf pour ceux qui ont con\u00e7u le malware \u2013 est son v\u00e9ritable objectif.<\/p>\n “Bien que le ransomware ThunderCrypt sugg\u00e8re un motif commercial pour ses auteurs, il soul\u00e8ve la question de savoir pourquoi ils n’ont pas opt\u00e9 pour une voie potentiellement plus lucrative”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Il est difficile d’accepter l’id\u00e9e qu’un malware aussi sophistiqu\u00e9 et con\u00e7u par des professionnels puisse servir un objectif aussi trivial, \u00e9tant donn\u00e9 toutes les preuves du contraire.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Le-logiciel-malveillant-StripeFly-a-fonctionne-inapercu-pendant-5-ans.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n