Des chercheurs en sécurité de Sophos Labs ont récemment suivi une nouvelle campagne de distribution du célèbre inforstealer Raccoon. Le malware, qui est géré en tant que service par ses développeurs, a été mis à jour avec de nouvelles tactiques, techniques et procédures pour voler des informations critiques à ses cibles. Les informations volées par Raccoon peuvent être téléchargées soit pour être vendues sur des marchés criminels., ou utilisé par des cybercriminels à d'autres fins.
Le logiciel malveillant est pas trop sophistiqué ou innovant, mais son logiciel malveillant-as-a-service (MaaS) modèle donne des cybercriminels une méthode rapide et facile à faire de l'argent en compromettant les informations utilisateur sensibles.
Le voleur d'infos Raccoon a été découvert par des chercheurs Cybereason, qui disent que « cette souche de malware est apparue pour la première fois aussi récemment que 2019, et a déjà établi une forte popularité parmi les cybercriminels. sa popularité, même avec un ensemble limité de fonctionnalités, signale la poursuite d'une tendance croissante de la marchandisation des logiciels malveillants comme ils suivent un MaaS (Malware-as-a-Service) modéliser et faire évoluer leurs efforts.
Raccoon Infostealer-as-a-Service
Le malware semble être contrôlé à partir d'un serveur de panneau de commande et de contrôle basé sur Tor. Comme de nombreux autres services commerciaux basés sur le Web, il est constamment en développement avec de nouvelles fonctionnalités et des corrections de bugs. Il fournit même des mises à jour automatisées des logiciels malveillants déjà déployés sur les machines infectées, Sophos dit. Même si le malware-as-a-service est principalement vendu sur les forums russophones, il a également des publicités en anglais et offre un support en anglais.
De quoi Raccoon est-il capable? L'infostealer peut récolter les mots de passe, cookies, et le texte de remplissage automatique pour les sites Web, y compris les détails de la carte de crédit et le navigateur PII peuvent stocker. Le malware a récemment reçu une mise à jour du clipper, ce qui signifie qu'il peut désormais cibler les portefeuilles de crypto-monnaie, et peut récupérer ou supprimer des fichiers sur des hôtes compromis.
Combien coûte le malware Raccoon?
D'après l'analyse de Sophos, une entrée de gamme, un abonnement de sept jours à Raccoon Stealer est disponible sur $75. Ce type de malware peut être acheté par n'importe qui, indépendamment de toute réputation dans le monde criminel, les chercheurs soulignent. « Des services tels que Raccoon permettent aux cybercriminels naissants d'établir une réputation qui leur permettrait de s'abonner à, ou acheter, des logiciels malveillants plus avancés provenant de fournisseurs plus exclusifs.
Il convient de mentionner que les binaires et même le code source de certains infostealers peuvent être obtenus gratuitement. Par exemple, une version crackée du constructeur de voleur d'informations Azorult est publiée sur plusieurs sites de téléchargement. Sans oublier qu'il existe divers outils de sécurité offensifs, comme LaZagne, que les acteurs de la menace peuvent utiliser dans le même but. L'outil LaZagne a notamment été utilisé par le Dharma ransomware gang de cybercriminalité.
Les dernières campagnes Raccoon utilisent également le référencement
« La grande majorité des échantillons récents de Raccoon sont distribués via une seule campagne de compte-gouttes exploitant des sites Web malveillants,»Dit Sophos. Optimisation du moteur de recherche, brièvement connu sous le nom de référencement, est une autre technique récemment déployée par les cybercriminels derrière l'infostealer. Les astuces de référencement permettent aux personnes à la recherche d'un logiciel particulier de visiter des sites malveillants spécifiques et d'être infectées par le logiciel malveillant. "Rechercher "[nom du produit logiciel] crack" sur Google renvoie des liens vers des sites Web qui prétendent fournir des téléchargements de logiciels avec des exigences de licence contournées," le rapport montre.
La dernière campagne Raccoon comprend des sites malveillants optimisés pour les moteurs de recherche qui figurent en bonne place dans les résultats de Google. En outre, ils sont également promus sur une chaîne YouTube avec une vidéo sur les marchandises, ou logiciel piraté. Les chercheurs sont également tombés sur des échantillons en télémétrie enracinés dans deux domaines spécifiques: gsmcracktools.blogspot.com et procrackerz.org.
Les sites malveillants sont généralement annoncés comme des référentiels de packages logiciels légitimes piratés. Cependant, les fichiers livrés dans la campagne étaient en fait déguisés en compte-gouttes. Si la victime potentielle clique sur un lien pour télécharger un tel fichier, ils passent par un ensemble de JavaScripts de redirection hébergés sur Amazon Web Services. Puis, la victime est envoyée à l'un des multiples emplacements de téléchargement qui fournissent différentes versions du compte-gouttes.
La raison pour laquelle cette campagne a été un tel succès est l'économie d'un inforstealer.
"Multiplié sur des dizaines ou des centaines d'acteurs individuels de Raccoon, il génère un gagne-pain pour les développeurs de Raccoon et une foule d'autres fournisseurs de services malveillants qui leur permettent de continuer à améliorer et à étendre leurs offres criminelles. Et ces offres touchent largement les consommateurs, en particulier, comme dans ce cas, lorsqu'ils utilisent des recherches de versions gratuites de logiciels commerciaux," Sophos conclut.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: