Posté le avril 12, 2019 à 22:39

LE LOGICIEL MALVEILLANT EMOTET UTILISE LES TACTIQUES DE LA CORÉE DU NORD POUR MONTRER QU’IL EST TOUJOURS ROI.

Emotet est peut-être le logiciel malveillant le plus dangereux au monde qui n’est pas parrainé par un gouvernement. Et grâce aux nouvelles tactiques utilisées, il a amélioré son arsenal.

Le groupe de hackers connu dans le monde entier pour avoir fabriqué Emotet a utilisé une nouvelle astuce qui était auparavant du domaine des groupes de hackers d’États-nations. Emotet a été repéré en train de faire revivre d’anciens fils de messagerie et d’en injecter des liens vers  un logiciel malveillant. L’activité a été détectée cette semaine et l’utilisateur pourrait recevoir des courriels mystifiés provenant de correspondances antérieures. L’email fera partie d’une chaîne et semblera provenir de quelqu’un qu’ils connaissent, mais proviendra en fait d’un serveur Emotet.

La conversation n’a pas changé du tout, la seule chose qui se passe est qu’Emotet insère une URL en haut de l’email et que cet URL renvoie vers un document malveillant ou un fichier qu’Emotet a infecté par un logiciel malveillant.

Une tactique nord-coréenne volée par Emotet

Cette tactique est nouvelle pour le public, mais les chercheurs en cybersécurité qui suivent les actions de groupes de pirates sponsorisés par le gouvernement vont immédiatement la reconnaître. Selon Palo Alto Networks, un groupe censé bénéficié du soutien financier de la Corée du Nord était en train d’insérer des logiciels malveillants dans de vieux fils de discussion. Les hackers ont utilisé la vulnérabilité d’exécution du code à distance dans Microsoft Word Office/WordPad CVE-2017-0199, ont piraté des comptes individuels un à un et ont pris manuellement le contrôle d’anciens threads de discussion en ligne.

Cependant, Emotet a emprunté une autre voie. Ils tirent parti des fils de message des victimes précédentes récoltés en masse. La majorité des fils proviennent de victimes de piratage en octobre de l’année dernière. Le module qu’ils ont abandonné en octobre a permis de récolter des millions d’adresses mail et de nombreux experts en sécurité craignaient qu’il s’agisse d’une partie d’un plan plus important.

Ces experts ont remarqué le mois dernier qu’Emotet avait essayé d’utiliser les courriels en tant que réseau de distribution de spam. Ils ont seulement commencé à utiliser les emails récoltés à une plus grande échelle la semaine dernière. Les emails sont utilisés pour simuler des réponses dans des chaînes de messagerie existantes à une échelle jamais vue auparavant dans le monde de la cybersécurité. Tous les spams provenant du piratage d’Emotet proviennent de mails collectés avant novembre 2018. Beaucoup d’experts pensent que les nouveaux mails infectés depuis ne seront utilisés que dans le futur.

Les utilisateurs allemands et anglais sont vulnérables aux attaques

Ce sont principalement des utilisateurs anglophones qui ont été piratés et utilisés par Emotet, explique Joseph Roosen, chercheur en sécurité chez Cryptolaemus. Il semble que les utilisateurs de langue allemande peuvent s’attendre à voir le spam et à être ciblés dans un futur assez proche.

Ce qui rend cette attaque de spam si sérieuse, c’est que les deux groupes de botnet d’Emotet sont utilisées pour cette opération particulière. Ils sont généralement scindés et sont livrés à faire des choses différentes. Et lorsque les deux font une chose en même temps, cela suscite des doutes dans la communauté Infosec. D’autant que les modèles utilisés pour le spam et le piratage sont très limités comparés aux modèles de spam classiques utilisés par Emotet.

Si vous recevez une réponse mise à jour à partir d’une ancienne conversation par courrier électronique, cela signifie que vous êtes probablement ciblé et qu’au moins une personne de la chaîne de messagerie possède une adresse électronique compromise. Cela est particulièrement grave pour les entreprises, car Emotet est suffisamment dangereux pour le public, mais si elles avaient accès à un réseau professionnel, elles pourraient causer des dommages catastrophiques.

Tandis qu’Emotet a commencé comme un simple cheval de Troie, il est devenu tellement plus puissant au cours des dernières années. Le botnet qu’Emotet permet à ses créateurs de gérer est populaire dans les cercles underground.