Fauxpersky : un nouveau malware sorti en 2018

La numérisation a considérablement amélioré notre niveau de vie, rendant les choses plus faciles, plus rapides et plus fiables. Mais alors, conserver tous les enregistrements sur ordinateur et les traiter via Internet est comme une pièce de monnaie avec deux faces différentes. Avec d'innombrables avantages, il existe quelques inconvénients notables, en particulier les pirates informatiques et leurs outils connus sous le nom de logiciels malveillants. Le plus récent ajout à cette grande famille de logiciels malveillants est Fauxpersky. Bien que cela rime avec le célèbre antivirus russe « Kaspersky », mais c'est là que leurs chemins divergent. Fauxpersky se déguise en Kaspersky et est conçu pour voler les informations des utilisateurs et les envoyer aux pirates via Internet. Il se propage via les clés USB, infectant l'ordinateur de l'utilisateur, capturant toutes les frappes comme un enregistreur de frappe et finalement l'envoyant à la boîte aux lettres de l'attaquant via GoogleFormes. La logique derrière le nom de ce malware est simple. Tout ce qui est fait dans l'imitation serait connu sous le nom de Faux, donc l'imitation de Kaspersky serait Faux - Kaspersky ou Fauxpersky.

Pour comprendre le processus d'exécution de ce malware, examinons d'abord ses différents composants :

Enregistreur de clé

Google définit un programme informatique qui enregistre chaque frappe effectuée par un utilisateur d'ordinateur, notamment pour obtenir un accès frauduleux aux mots de passe et autres informations confidentielles. Cependant, lors de sa conception initiale, Keylogger servait un objectif aux parents qui pouvaient surveiller l'activité en ligne de leurs enfants et aux organisations où les employeurs pouvaient déterminer si les employés travaillaient sur les tâches souhaitées qui leur étaient assignées.

Lire aussi : -

Comment vous protéger contre les enregistreurs de frappe Les enregistreurs de frappe sont dangereux et pour rester protégé, il faut toujours garder le logiciel à jour, utiliser des claviers à l'écran et suivre tout...

Touche de raccourci automatique

AutoHotkey est un langage de script personnalisé gratuit et open source pour Microsoft Windows, initialement destiné à fournir des raccourcis clavier ou des raccourcis clavier faciles, une création rapide de macros et une automatisation logicielle qui permet aux utilisateurs de la plupart des niveaux de compétence informatique d'automatiser les tâches répétitives dans n'importe quelle application Windows. De Wikipédia, l'encyclopédie libre.

Formulaires Google

Google Forms est l'une des applications qui forment la suite d'applications bureautiques en ligne de Google. Il est utilisé pour créer une enquête ou un questionnaire qui est ensuite envoyé au groupe de personnes souhaité et leurs réponses sont enregistrées dans une seule feuille de calcul à des fins d'analyse.

Kaspersky

Kaspersky est une marque antivirus russe bien connue qui a développé des antivirus, la sécurité Internet, la gestion des mots de passe, la sécurité des terminaux et d'autres produits et services de cybersécurité.

Là, comme on dit parfois « Trop de bonnes choses peuvent faire une grosse mauvaise chose ».

Recette Fauxpersky

Fauxpersky a été développé à l'aide des outils AutoHotKey (AHK) qui lisent tous les textes saisis par l'utilisateur à partir de Windows et envoient des frappes à d'autres applications. La méthode utilisée par l'enregistreur de frappe AHK est assez simple ; il se propage grâce à la technique d'auto-réplication. Une fois exécuté sur le système, il initie le stockage de toutes les informations saisies par l'utilisateur dans un fichier texte portant le nom de la fenêtre respective. Il fonctionne sous un masque de Kaspersky Internet Security et envoie toutes les informations enregistrées à partir des frappes à un pirate informatique via Google Forms. La méthode d'extraction des données est rare : les attaquants les récupèrent à partir de systèmes infectés à l'aide de formulaires Google sans provoquer le moindre doute au sein des solutions de sécurité analysant le trafic, car les connexions cryptées avec docs.google.com ne semblent pas suspectes. Une fois la liste des frappes envoyée, il est supprimé du disque dur pour empêcher la détection. Cependant, une fois que le système est infecté, le malware est redémarré après le redémarrage de l'ordinateur. Il crée également un raccourci pour lui-même dans le répertoire de démarrage du menu Démarrer.

Fauxpersky : Modus Operandi

Le processus d'infection initiale n'est pas encore déterminé, mais une fois que le logiciel malveillant a compromis un système, il analyse tous les lecteurs amovibles connectés à l'ordinateur et s'y réplique. Il crée un dossier dans %APPDATA% du nom de « Kaspersky Internet Security 2017 » avec six fichiers, dont quatre sont exécutables et ont le même nom que le fichier système Windows : Explorers.exe, Spoolsvc.exe, Svhost.exe et Taskhosts.exe. Les deux autres fichiers sont un fichier image avec le logo antivirus Kaspersky et un autre fichier qui est un fichier texte avec le nom de 'readme.txt'. Les quatre fichiers exécutables remplissent différentes fonctions :

• Explorers.exe - se propage des machines hôtes aux lecteurs externes connectés via la duplication de fichiers.
• Spoolsvc.exe - Il modifie les valeurs de registre du système, ce qui empêche l'utilisateur d'afficher tous les fichiers cachés et système.
• Svhost.exe - utilise les fonctions AHK pour surveiller la fenêtre actuellement active et consigner toutes les frappes saisies dans cette fenêtre.
• Taskhosts.exe - est utilisé pour le téléchargement final des données.

Toutes les données enregistrées dans le fichier texte seront envoyées à la boîte aux lettres de l'attaquant via les formulaires Google et seront supprimées du système. De plus, les données transmises via Google Forms ont déjà été cryptées, ce qui fait que les téléchargements de données de Fauxpersky ne semblent pas suspects dans diverses solutions de surveillance du trafic.

La société de cybersécurité 'Cybereason' est créditée d'avoir découvert ce malware et bien qu'elle n'indique pas combien d'ordinateurs ont été infectés, mais étant donné que l'intelligence de Fauxpersky se propage via la méthode à l'ancienne de partage de clés USB. Une fois que Google a été averti, il a immédiatement répondu en retirant le formulaire de ses serveurs dans l'heure.

Suppression

Si vous pensez que votre ordinateur est également infecté, accédez simplement au dossier 'AppData' et entrez dans le dossier 'Roaming' et supprimez les fichiers liés à Kaspersky Internet Security 2017 et le répertoire lui-même du répertoire de démarrage situé dans le menu Démarrer. Il est également conseillé de modifier les mots de passe des services, pour éviter une utilisation non autorisée des comptes.

Même avec les derniers logiciels anti-programme malveillant, on peut acheter de l'argent, il serait faux de penser que nos informations personnelles stockées sur nos ordinateurs sont en sécurité, car les logiciels malveillants sont fréquemment créés par des activistes de l'ingénierie sociale partout dans le monde. Les développeurs de logiciels malveillants peuvent continuer à mettre à jour les définitions de logiciels malveillants, mais il n'est pas toujours possible de détecter à 100% les logiciels anormaux créés par les esprits brillants qui se sont égarés. Le meilleur moyen d'empêcher une infiltration est de visiter uniquement des sites Web de confiance et de faire preuve d'une extrême prudence lors de l'utilisation de disques externes.