Des chercheurs: l'attaque s'inscrit dans une vaste campagne visant à voler des cryptomonnaies et identifiants via une fausse vérification Google
Une cyberattaque suspecte utilisant de faux contrôles CAPTCHA pour cibler un organisme gouvernemental ukrainien a été reliée à Moscou, selon un nouveau rapport (source en anglais).
PUBLICITÉ
PUBLICITÉ
Le géant américain des technologies Cisco a indiqué que ses chercheurs en cybersécurité avaient constaté une activité inhabituelle dans les systèmes informatiques de l’organisme en avril, affirmant "avec un niveau de confiance modéré" qu’un acteur de la menace russe avait mené l’attaque.
Les chercheurs de Cisco ont découvert sur le système un logiciel malveillant connu sous le nom d’Amatera, capable de dérober des informations sensibles.
Selon l’entreprise, il a également servi à installer des programmes susceptibles de donner à un attaquant l’accès à l’ordinateur, avec la possibilité notamment d’inspecter les fichiers, de transférer des données et d’exécuter des commandes.
Cisco a constaté que le logiciel était configuré pour se connecter à un serveur dont l’adresse IP était localisée en Russie.
Le rapport n’a pas permis d’établir si des informations avaient effectivement été dérobées à l’organisme ukrainien, si les pirates avaient réellement exploité cet accès ni comment l’ordinateur avait été infecté au départ.
Les chercheurs de Cisco estiment toutefois qu’il s’inscrivait dans une opération plus vaste visant à voler des cryptomonnaies et des identifiants.
"Il n’était pas clair ce qui avait déclenché la chaîne d’exécution", indique le rapport.
Des contrôles CAPTCHA utilisés comme pièges
Sur le système ukrainien, les chercheurs de Cisco avaient repéré un fichier malveillant déguisé sous le nom "verification.google", mais n’ont pas pu remonter à ce qui avait provoqué son exécution.
Pour comprendre comment l’infection en Ukraine avait pu démarrer, ils ont recherché des attaques similaires et ont découvert une autre infection impliquant le même logiciel malveillant Amatera.
Cette fois, ils l’ont fait remonter à des sites web compromis affichant de fausses versions du test de vérification CAPTCHA de Google, utilisé pour distinguer les visiteurs humains des robots automatisés.
Mais au lieu de simplement demander aux utilisateurs de cocher une case ou d’identifier des images, le faux test leur indiquait d’ouvrir une fenêtre sur leur ordinateur et d’y coller un texte qui déclenchait l’exécution d’un logiciel malveillant.
Dans cette infection, Amatera a également été utilisé pour installer un programme conçu pour voler des cryptomonnaies.
Ce programme pouvait surveiller les adresses de portefeuilles de cryptomonnaies copiées par les victimes et les remplacer par des adresses contrôlées par les attaquants, redirigeant potentiellement les paiements.
Selon Cisco, les similitudes entre les infections suggèrent que l’attaque contre l’Ukraine a pu commencer de la même manière.
Les chercheurs n’ont toutefois pas pu confirmer que les deux infections avaient débuté de la même façon ni qu’elles avaient été menées par le même groupe.