Attention à ces faux fichiers OneNote utilisés par les hackers pour voler vos informations
Une campagne de phishing menée par le groupe de pirates Qakbot utilise le malware du même nom pour se répandre à travers les boîtes email de leurs victimes.
Les chercheurs en sécurité de Sophos ont mis au jour une campagne de phishing utilisant un malware nommé Qakbot. Ils envoient des emails contenant un fichier joint. Ce dernier est un fichier au format. one, ce qui laisse croire au destinataire du message que l’une de ses connaissances veut partager un document OneNote. Une fois qu’il clique sur le fichier joint, une page OneNote apparaît. Elle stipule : « Ce document contient des pièces jointes provenant du cloud. Pour les recevoir, double-cliquez sur Ouvrir ». Si vous cliquez sur ce bouton, c’est le début des ennuis.
L’application HTML ainsi exécutée va télécharger le code malfaisant de Qakbot depuis un serveur distant et l’exécuter sur l’ordinateur de la victime. Pour passer inaperçus aux yeux des antivirus, les fichiers importés se font passer pour des images (au format png ou gif, par exemple). Ce sont en fait des DLL conçues pour exécuter des scripts malfaisants et infecter les applications système de Windows.
Qakbot s’insère dans les conversations email et se « reproduit » de la sorte
Sophos déclare : « si vous n’êtes pas sûr […] prenez le temps d’appeler ou d’envoyer un message à l’expéditeur et assurez-vous qu’il vous a réellement envoyé le document ». C’est le meilleur moyen de ne jamais être infecté, cela n’est malheureusement pas toujours suffisant. Qakbot a en effet la capacité d’insérer des messages au milieu de fils de conversations existants. Les chercheurs le reconnaissent volontiers, il est très bon pour citer un message précédent et semer la confusion auprès des participants.
À lire — Phishing : des pirates ont trouvé une nouvelle technique pour encore mieux vous piéger
L’utilisation de fichiers OneNote pour infecter des ordinateurs sous Windows semble être une technique très récente, puisque Sophos estime que cette campagne a débuté le 31 janvier 2023. Si le vecteur d'infection, Qakbot, est connu, la compagnie ne donne pas plus de précisions sur la nature des exactions du groupe de pirate. Leur malware peut servir à voler les données des utilisateurs, ou encore à prendre possession d'un PC pour l'intégrer à un botnet.
Source : Tech Radar
