Les chercheurs de l’entreprise de cybersécurité Kaspersky ont trouvé un malware bien caché depuis 5 ans. Passé inaperçu en se faisant passer pour un mineur de cryptomonnaies, il a infecté au moins 1 million de PC sous Windows et Linux.
Les malwares, vous commencez à bien les connaître à force. Ils sont malheureusement si répandus que nous vous en parlons régulièrement. Et le moins que l’on puisse dire, c’est que les pirates font preuve d’imagination quand il s’agit de leur donner forme. Celui-ci est une fausse mise à jour Windows, et celui-là carrément une version infectée du système d’exploitation de Microsoft tout entier. StripedFly, petit nom du programme malveillant dont il est question aujourd’hui, est encore plus retors. Il s’est caché sous un mineur de cryptomonnaies et a ainsi échappé aux solutions de cybersécurité pendant 5 ans.
Les experts de chez Kaspersky ont toutefois réussi à le repérer récemment. Selon leurs estimations, StripedFly serait présent sur plus d’un million de PC Windows et de systèmes Linux. L’infection aurait eu lieu vers 2016 ou 2017 via l’exploitation de la faille EternalBlue, très en vogue chez les hackers à l’époque. Le malware est impressionnant selon les chercheurs. Il intègre des mécanismes basés sur le réseau TOR pour masquer son trafic, se met à jour automatiquement via des plates-formes légitimes comme GitHub et se répand dans d’autres machines sans se faire repérer.
LE MALWARE STRIPEDFLY S’EST CACHÉ SOUS UN MINEUR DE CRYPTOMONNAIE, IL A INFECTÉ 1 MILLION DE PC
Sur Windows, le malware adapte son comportement en fonction des droits auxquels il accède et de la présence ou non de PowerShell, qui sert notamment à entrer des commandes. S’il est là, il exécute des scripts pour créer des tâches programmées ou modifier des clés du registre Windows. Sans PowerShell, il créé un fichier masqué dans le dossier %APPDATA%. À distance, le pirate peut ajouter des modules à StripedFly. Il devient alors capable de beaucoup de choses sur l’ordinateur infecté.
En vrac, le malware peut prendre des captures d’écran, chercher et récolter des données comme des identifiants et des mots de passe, lancer des actions comme l’ouverture et l’enregistrement du micro, miner la cryptomonnaie Monero en se déguisant en processus “chrome.exe”… Kaspersky insiste d’ailleurs sur le fait que c’est ce module de minage qui a permis à StripedFly de passer sous le radar pendant autant de temps.
