En coulisse
Sur les traces des e-mails de phishing digitec
par Dominik Bärlocher
Ce que les phisher digitec veulent vraiment
16/11/2016
L’e-mail indésirable envoyé par les phisher est analysé. Nous vous expliquons la fonction de ce dernier et comment vous en débarrasser.
Après avoir appris que des e-mails de phishing, avec pour expéditeur digitec, étaient en circulation, nous avons averti nos utilisateurs et nous sommes mis à la recherche d’indices.
Alors que d’autres se sont reposés durant le week-end, l’équipe de Christian Margadant, Head of Technics chez Digitec Galaxus AG a décodé et analysé l’e-mail mal veillant. «Nous avons trouvé ce que le code veut faire à votre ordinateur», dit-il.
Reverse engineering avec précaution
Pas à pas vers le décodage
Maintenant que le code entier est décodé, nous pouvons vous dire ce que le logiciel malveillant fait exactement.
Ce que le logiciel malveillant fait à votre ordinateur
D’abord la bonne nouvelle: vos données ne sont ni supprimées ni codées. La mauvaise: votre argent n’est plus en sécurité. Mais une chose après l’autre.
Dans un premier temps, le malware prépare le terrain pour des opérations plus complexes.
- Votre IP est enregistrée dans un fichier log.
- Des certificats sont installés
- De nouvelles entrées dans le registre sont établies
Ces étapes en soi ne sont pas nuisibles, mais offrent un terrain idéal pour d’autres logiciels malveillants. Ce sont surtout les certificats qui sont importants pour la suite des opérations.
Dans un second pas, des téléchargements sont exécutés. Aucun des programmes téléchargés n’est malveillant ou mauvais en soi. Au contraire. Dans certains coins du monde, ils font partie de la survie numérique.
Ensuite, le malware lance TorBrowser et Proxifier. Pour que ces derniers fonctionnent toujours en arrière-plan, ils sont désignés comme des tâches planifiées. Ces procédés en arrière-plan sont camouflés.
- La tâche Proxifier porte le nom de MicrosoftUpdate
- La tâche Tor porte le nom de SkypeUpdateTask
Pour la première fois, on voit ce que ce logiciel fait vraiment. Car Proxifier est muni d’un profil qui transmet les demandes de certains sites Internet via une route contrôlée par des tiers. Ces sites sont:
Dans une attaque Man in the Middle, le trafic de l’utilisateur à l’hôte passe par des tiers où ils sont lus.Comme Christian Margadant et son équipe ne peuvent pas accéder au site sur le Darknet, le Head of Technics émet deux hypothèses:
- Les sites du darknet ne sont pas encore ou plus en ligne
- Les sites du Darknet acceptent seulement des POST et n’interceptent donc que des données, mais pas de GET, nécessaire à l’utilisateur pour pouvoir voir des données du serveur dans le navigateur.
Comment se débarrasser du logiciel malveillant
La solution la plus simple et de loin la moins chère pour se débarrasser du malware est de formater le disque dur et de recréer Windows. L’utilisateur Deville_TGR avait dit juste dans l’article précédent.
Alors recréer le système d’exploitation?
Exactement. Ce n’est malheureusement pas toujours possible ou souhaitable même si recommandé. Au cas où vous ne voulez ou pouvez pas réinstaller Windows, appliquer les conseils suivants en plus du dernier donné dans le premier article.
Cette méthode limite la menace, mais laisse des traces.
- 7Zip reste encore dans le système comme données indésirables, mais ce n’est pas gênant.
- Les entrées de registres restent aussi, car elles sont maintenant inoffensives. Avec un logiciel comme CCleaner le registre peut tout de même être nettoyé.
Peu efficace sous Windows 10
Christian Margadant a, sous des conditions contrôlées, exécuté le scripte. Maintenant il peut, en toute sécurité, affirmer qu’il s’agit d’une attaque Man in the Middle. Et: le scripte est le même qu’un fichier envoyé par un expéditeur qui prétend être les CFF, mais qui est envoyé par l’expéditeur sbbclient@sbb.rs.
Les utilisateurs de Windows 10 ont de la chance. Le nouveau système d’exploitation de Microsoft reconnaît les fichiers JavaScript qui veulent exécuter le code malveillant depuis les définitions de Windows Defender v1.231.1459.0 du 08.11.2016/10:24 comme étant mauvais et empêche leur exécution. Les entrées de registre ne sont, elles aussi, pas faites et les certificats sont seulement installés une fois l’accord de l’utilisateur donné.
Journaliste. Auteur. Hackers. Je suis un conteur d'histoires à la recherche de limites, de secrets et de tabous. Je documente le monde noir sur blanc. Non pas parce que je peux, mais parce que je ne peux pas m'en empêcher.
En coulisse
Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.
Tout afficher
