Au cours du mois dernier, Les experts en cybersécurité de FortiGuard Labs ont identifié une série de raccourcis Windows malveillants (LNK) fichiers contenant des commandes PowerShell. Ces fichiers servent d'étape initiale à une cyberattaque sophistiquée visant à diffuser le cheval de Troie bancaire Coyote, une souche de malware qui cible principalement les utilisateurs au Brésil. Conçu pour voler des informations financières sensibles, Coyote représente un grand danger pour la sécurité des services bancaires en ligne, et une indication que ce type de menace continue d’évoluer.
Comment fonctionne le cheval de Troie bancaire Coyote?
Coyote opère selon un processus d'infection en plusieurs étapes. Initialement, un utilisateur sans méfiance exécute un fichier LNK, qui exécute une commande PowerShell qui se connecte à un serveur distant. Cette commande récupère un autre script PowerShell, qui à son tour télécharge et exécute un chargeur responsable du déploiement de la charge utile principale du malware.
Le code malveillant injecté utilise Donut, un outil bien connu pour décrypter et exécuter le langage intermédiaire Microsoft (MSIL) charges utiles. Une fois décrypté, le fichier MSIL modifie le registre Windows pour assurer la persistance. Cela signifie que même si le système est redémarré, le malware reste actif. Le cheval de Troie télécharge également une URL codée en Base64, poursuivre l’exécution de ses fonctions principales.
Une fois Coyote déployé avec succès, il collecte des informations système critiques et recherche les logiciels antivirus installés. Les données collectées sont codées et transmises à un serveur distant contrôlé par les attaquants. Coyote est conçu pour éviter la détection en vérifiant s'il s'exécute dans un environnement virtuel ou sandbox, ce qui rend plus difficile pour les chercheurs en cybersécurité d'analyser son comportement.
Parmi ses nombreuses capacités malveillantes, Coyote peut:
- Enregistrez les frappes au clavier pour capturer les informations d'identification sensibles des utilisateurs.
- Prendre des captures d'écran de l'écran de la victime.
- Afficher des superpositions de phishing sur des sites Web bancaires légitimes pour voler des informations de connexion.
- Manipuler les paramètres d'affichage du système pour induire les utilisateurs en erreur.
Liste des cibles du cheval de Troie bancaire Coyote
Découvertes récentes indiquent que la liste des entités ciblées par Coyote s'est considérablement allongée. Initialement axé sur 70 applications financières, le malware cible désormais plus de 1,000 sites Web et 73 institutions financières. Certaines d'entre elles incluent des plateformes financières brésiliennes bien connues telles que mercadobitcoin.com.br, bitcointrade.com.br, et foxbit.com.br. En plus des institutions financières, Coyote a également été trouvé ciblant des sites Web liés à l'hôtellerie comme augustoshotel.com.br, blumenhotelboutique.com.br, et fallshotel.com.br.
Lorsqu'une victime tente d'accéder à l'un de ces sites ciblés, le logiciel malveillant communique avec un serveur contrôlé par un attaquant pour déterminer sa prochaine action. En fonction des instructions reçues, Coyote peut prendre des captures d'écran, activer un keylogger, ou afficher des superpositions trompeuses conçues pour inciter les utilisateurs à fournir des informations sensibles.
Le processus d'infection du coyote est à la fois complexe et efficace, ce qui constitue une menace sérieuse pour la sécurité des services bancaires en ligne au Brésil. Sa capacité à s'étendre au-delà de sa liste de cibles initiale suggère que le logiciel malveillant pourrait continuer à évoluer pour cibler d'autres institutions financières et régions..
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: