Ce malware mute depuis 2008, et sa quatrième version est plus complexe que jamais. ComRAT, développé par les hackers d’élite de Turla, a de nouveau été repéré en janvier par les chercheurs d’ESET.
Les cyberespions ont utilisé leur outil pour s’en prendre à trois institutions, dont deux ministères des Affaires étrangères, que l’entreprise ne peut pas nommer pour des raisons de sécurité nationale. Turla est un spécialiste de ces coups : il s’en prend aux diplomates et aux militaires susceptibles de détenir des informations secret-défense.
Les hackers de Turla visent des documents confidentiels, dont la valeur est plus géopolitique que financière. // Source : Illustration par Lucie Benoit pour Numerama
ComRAT n’est qu’un de leurs outils parmi tout un arsenal. Il s’agit d’une backdoor : une fois déployée, elle permet aux hackers de faire rentrer toutes sortes de malwares sur le système infecté. Dans l’autre sens, les pirates peuvent aspirer les données qu’ils étaient venus chercher.
La version v4 du malware découvert par ESET est encore plus furtif, et ce n’est pas tout : il vole désormais les logs — en quelque sorte l’historique — des protections du système qu’il attaque. Les hackers de Turla peuvent ainsi voir si ComRAT a été repéré, et si c’est le cas, ils peuvent déduire quel élément de leur code a déclenché l’alarme. Ils n’ont plus qu’à l’adapter pour passer outre, et redevenir parfaitement indétectables lors de leur prochaine attaque (avant une éventuelle mise à jour des outils de protection).
ComRAT passe par Gmail pour dissimuler ses traces
Dans son communiqué, ESET s’inquiète de cette nouvelle propriété, qu’il qualifie de « préoccupante ». Matthieu Faou précise : « Cela montre le niveau de sophistication de ce groupe et son intention de s’implanter à long terme dans les machines. » Dans une interview à ZDNet, il ajoute que le vol de l’information des antivirus est de plus en plus répandu chez les groupes de cybercriminels avancés, qui veulent savoir s’ils ont laissé des traces de leur attaque.
La version ComRAT v4 découverte par ESET, a la particularité d’utiliser l’interface web de Gmail comme canal de diffusion. « Grâce à Gmail, la dernière version de ComRAT est capable de contourner certains contrôles de sécurité, car elle n’utilise aucun domaine malveillant », explique le chercheur Matthieu Faou dans le communiqué de l’entreprise. Pour se faire, la backdoor va charger un cookie sur un des navigateurs (Chrome, Firefox, Edge…) du système infecté. Puis elle va lancer une session sur Gmail. Le malware peut ensuite accéder à une boîte de réception et télécharger toutes sortes de pièces jointes. Les hackers attachent également des instructions d’utilisation que le logiciel malveillant peut appliquer. Concrètement : les cybercriminels n’ont qu’à envoyer un email pour lancer une nouvelle attaque.
ComRAT est régulièrement mis à jour
ComRAT a été découvert pour la première fois en 2008, lorsque ses opérateurs s’en étaient servi pour exfiltrer des documents du Pentagone américain. Étant donné le statut de la victime, l’affaire avait fait grand bruit. À l’époque, ComRAT devait passer par un disque pour atteindre le système ciblé. Depuis ce premier épisode, la backdoor réapparait à intervalle régulier sur tous les continents, et environ tous les 3 ans, il évolue en une version plus virulente.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
