Attention à ce malware qui peut se cacher dans ce vieux logo de Windows !

Un groupe de pirates connu sous de multiples appellations utilise un vieux logo pour piéger ses victimes. Bien que cette technique ne soit pas toute récente, elle est rarement utilisée par les groupes de hackers à l'envergure internationale.

Un groupe de hackers nommé Witchetty (aussi connu sous le nom de LookingFrog, Cicada, menuPass, Stone Panda, Potassium, APT10 ou encore Red Apollo) est soupçonné de s’être attaqué à des organismes gouvernementaux moyen-orientaux et à la bourse d’un pays africain en utilisant une technique certes déjà connue, mais assez peu usitée : la stéganographie.

La stéganographie est un domaine qui vise à inclure un programme malveillant dans un média tel qu’une image ou même dans une vidéo. Le groupe de pirates utiliserait un logiciel nommé Stegmap qui leur permettrait de télécharger un vieux logo de Windows contenant un code leur permettant d’exécuter un programme sur l’ordinateur de ses victimes et de leur subtiliser des données. D’après les experts, l’utilisation de cette technique constitue une réelle évolution de l’arsenal des pirates.

Witchetty s'attaque à des organismes gouvernementaux à l'aide du logo de Windows

À en croire BleepingComputer, Witchetty utiliserait ce type d’attaque depuis le mois de février dernier et viserait principalement gouvernements et autres organismes politiques. L’arsenal d’infiltration de Witchetty est en constante évolution, et l’attaque à travers des images aurait tiré parti des failles de sécurité ProxyShell et ProxyLogon des serveurs de Microsoft Exchange. Après avoir mis à profit Stegmap pour installer une librairie dynamique (DLL),  ce dernier télécharge une image à l’apparence anodine, dans ce cas le vieux logo de Windows, sur Github, un site de confiance auquel un antivirus ne prêtera pas attention. Le code malveillant contenu dans ce logo est décrypté et donne un contrôle quasi complet de l’ordinateur ciblé aux hackers.

Notons que Witchetty est passé maître dans l’art d’exploiter le multimédia pour voler des informations, puisqu’on lui attribue également des cyberattaques perpétrées à travers VLC, le fameux lecteur multimédia gratuit. Ces attaques visaient encore plus de cibles, puisqu’il se dit que des victimes de cette campagne ont été recensées dans au moins huit pays. Il s’agissait le plus souvent d’entreprises, de gouvernements voire d’associations, les particuliers n’ayant que peu d’intérêt pour un groupe réputé être très proche du gouvernement chinois.

Source : Symantec