Sauron, le malware qui se cachait depuis 5 ans

Sauron est un malware jusqu’ici inconnu qui s’est attaqué, en l’espace de cinq ans, à plus de 30 organisations gouvernementales, scientifiques et militaires ainsi qu’à diverses entreprises. C’est ce que révèle un rapport de Kaspersky Lab, une entreprise spécialisée dans la sécurité informatique.

Dans leur synthèse, les analystes indiquent avoir trouvé des traces du logiciel malveillant dans plusieurs pays, notamment en Russie, en Iran et au Rwanda. De son côté, Symantec fait remarquer que le programme s’est aussi retrouvé dans une ambassade en Belgique, dans une organisation en Suède et dans l’infrastructure d’une compagnie aérienne en Chine.

Strider se montre très sélectif.

Selon Kaspersky, les responsables qui se cachent derrière Sauron, dont l’étude a permis de découvrir qu’il sert à l’espionnage électronique, font partie d’un groupe baptisé Strider. Signe de sa complexité, il était passé totalement sous les radars des spécialistes en sécurité informatique et des outils de détection et de nettoyage mis à disposition des éditeurs d’antivirus.

La base de Sauron est toutefois connue, puisque le logiciel malveillant est une version améliorée de Remsec, un cheval de Troie qui a été découvert récemment et dont le terrain de jeu est Windows.

Le nouveau malware contre lequel met en garde l’entreprise a été baptisé Sauron car de nombreuses références à l’antagoniste du Seigneur des Anneaux de J. R. R. Tolkien ont été trouvées dans son code.

Sauron est équipé d’un module de persistance qui lui permet d’outrepasser les systèmes de sécurité des organisations attaquées. Concrètement, dès qu’un utilisateur ou un administrateur se connecte ou change son mot de passe, le malware réussit à récolter les informations adéquates sous la forme d’un banal fichier texte.

Le logiciel malveillant est également en mesure de changer régulièrement la manière dont il transmet les données qu’il espionne. « Les responsables des attaques comprennent parfaitement que nous, en tant que spécialistes, cherchons toujours des schémas », lit-on dans le rapport. « Supprimez ces schémas et l’opération devient plus difficile à repérer », ajoutent les spécialistes.

ce sont des attaques très furtives et insidieuses

Selon Costin Raiu, le directeur des recherches de menaces de Kaspersky, Sauron est un malware très puissant notamment parce que son code est unique et ne présente aucune similarité avec d’autres logiciels du même genre, déjà connus.

« Il se démarque vraiment comme quelque chose de très, très sophistiqué », explique-t-il à la BBC. Il prévient également que Sauron peut se propager via une clé USB infectée qui leur permet d’infecter même les ordinateurs qui ne sont pas connectés au réseau Internet.

De son côté, le spécialiste en sécurité informatique Graham Cluley, estime que ce malware a tout l’air d’avoir été approuvé par un État, sans donner plus de précision. Pour étayer ses propos, il affirme qui « ce sont des attaques très furtives et insidieuses qui peuvent se cacher pendant des années pour récolter des informations. Nous avons vu une progression continue de ce genre d’attaques. Alors que les gouvernements tentent de se protéger et de se renseigner, c’est devenu essentiellement une course à l’armement ».