Le groupe Lazarus cible l’Europe avec ce malware aux nombreuses fonctionnalités
Kaspersky a mis en ligne un nouveau rapport qui évoque DTrack, une souche malveillante utilisée par des cybercriminels de Corée du Nord pour cibler des organisations situées principalement en Europe et en Amérique Latine.
Il s'avère que DTrack est une porte dérobée dotée de multiple fonctionnalités permettant d'espionner les victimes. En effet, elle joue le rôle de keylogger, mais peut aussi prendre des copies d'écran, récupérer des informations sur l'historique de navigation ou les processus en cours, etc. Au-delà de ces fonctions, il peut également exécuter des commandes, exfiltrer des données et lancer des processus sur la machine compromise. Un logiciel malveillant très polyvalent, finalement.
Cette menace n'est pas nouvelle, et on peut dire qu'elle fait son grand retour. Cette fois-ci, elle semble distribuée beaucoup plus largement que par le passé. En effet, d'après le rapport de Kaspersky, la menace a été repérée en Europe (Allemagne, Italie, Suisse, Turquie), en Amérique Latine (Brésil, Mexique), ainsi qu'en Inde, aux Etats-Unis et en Arabie Saoudite.
En ce qui concerne les secteurs pris pour cible, ils sont relativement variés puisque que l'on parle des organisations politiques, des services publics, des établissements scolaires, ainsi que des fabricants de produits chimiques, des prestataires informatiques et des entreprises spécialisées dans les télécoms.
Kaspersky a attribué cette campagne d'attaques à Lazarus, un groupe de cybercriminels de Corée du Nord.
La distribution de DTrack
Au travers de cette nouvelle campagne, DTrack semble être distribué en utilisant des noms d'exécutables légitimes. Par exemple, Kaspersky évoque le nom "NvContainer.exe" utilisé par Nvidia, sauf que dans le cas présent il s'agit de DTrack.
Ensuite, DTrack est déployé sur des machines compromises en utilisant des identifiants dérobés (via une campagne de phishing, par exemple) ou en exploitant des vulnérabilités au sein de serveurs exposés à Internet. Une fois que DTrack est en place, la porte dérobée se cache dans un processus explorer.exe.
Au travers d'une API, il se connecte à des serveurs C2 de manière à charger diverses libraires. Kaspersky évoque l'utilisation des URLs suivantes : "pinkgoat[.]com", "purewatertokyo[.]com", "purplebear[.]com", et "salmonrabbit[.]com."
Cette menace pourrait tout à fait arriver en France, si ce n'est pas déjà fait... Puisqu'ici c'est une analyse propre à Kaspersky.
