Logiciel malveillant TimbreStealer

Depuis novembre 2023, des individus au Mexique sont victimes de stratagèmes de phishing à caractère fiscal visant à diffuser un malware Windows nouvellement identifié nommé TimbreStealer. Les chercheurs qui ont découvert cette campagne ont qualifié les auteurs de compétents, notant que ces acteurs de la menace avaient employé des tactiques, techniques et procédures (TTP) analogues en septembre 2023 pour déployer un cheval de Troie bancaire nommé Mispadu .

Les cybercriminels ciblent les utilisateurs au Mexique avec TimbreStealer

En plus d'utiliser des méthodes avancées d'obscurcissement pour échapper à la détection et maintenir la persistance, la campagne de phishing intègre le géorepérage pour cibler spécifiquement les utilisateurs au Mexique. Lorsque les sites de charge utile sont accessibles depuis des emplacements en dehors du Mexique, la campagne renvoie un fichier PDF vierge apparemment inoffensif au lieu du fichier malveillant.

Les tactiques d'évasion employées sont remarquables, impliquant l'utilisation de chargeurs personnalisés et d'appels système directs pour contourner la surveillance conventionnelle des API. De plus, la campagne utilise Heaven's Gate pour exécuter du code 64 bits dans un processus 32 bits, une technique récemment adoptée également par HijackLoader .

TimbreStealer est équipé d’un ensemble diversifié de capacités menaçantes

Le malware est équipé de différents modules embarqués dédiés à l'orchestration, au décryptage et à la sauvegarde du binaire principal. Simultanément, il effectue plusieurs contrôles pour déterminer s'il fonctionne dans un environnement sandbox, si la langue du système n'est pas le russe et si le fuseau horaire se situe dans une région d'Amérique latine.

Le module orchestrateur effectue des inspections supplémentaires en recherchant des fichiers et des clés de registre pour confirmer que la machine n'a pas été infectée auparavant. Ensuite, il lance le composant d'installation de la charge utile, présentant à l'utilisateur un fichier leurre inoffensif. Cependant, en coulisses, cette action déclenche l'exécution de la charge utile principale de TimbreStealer.

La charge utile principale est conçue pour rassembler un large éventail de données, englobant les informations d'identification provenant de divers dossiers, les métadonnées du système et les URL consultées. Il recherche activement des fichiers avec des extensions spécifiques et valide la présence d'un logiciel de bureau à distance.

Un logiciel malveillant Infostealer peut entraîner des répercussions importantes pour les victimes

Les logiciels malveillants Infostealer constituent une menace sérieuse pour les victimes car ils sont spécifiquement conçus pour infiltrer secrètement les systèmes et exfiltrer des informations sensibles, entraînant des répercussions importantes. Voici quelques façons dont le malware Infostealer peut avoir des effets néfastes :

• Vol de données : L'objectif principal du malware Infostealer est de collecter des informations sensibles, telles que les informations de connexion, les données personnelles, les détails financiers et la propriété intellectuelle. Une fois ces informations compromises, elles peuvent être utilisées pour diverses activités malveillantes, notamment le vol d’identité, la fraude financière ou l’accès non autorisé aux comptes.

• Perte financière : les logiciels malveillants Infostealer ciblent souvent les informations financières, ce qui peut entraîner des pertes financières directes pour les individus et les organisations. Les cybercriminels peuvent utiliser les informations d'identification bancaires collectées pour lancer des transactions sans licence ou accéder à des comptes financiers.

• Invasion de la vie privée : le vol d'informations personnelles et confidentielles via le logiciel malveillant Infostealer peut entraîner une profonde invasion de la vie privée. Les victimes peuvent être confrontées à un abus de confiance et avoir du mal à restaurer leur identité en ligne.

• Perturbation des activités : dans le cas des organisations, le malware Infostealer peut entraîner une perturbation des activités. La perte de données commerciales sensibles ou de secrets commerciaux peut nuire à l'avantage concurrentiel d'une entreprise, et un accès non autorisé aux systèmes critiques peut entraîner une interruption des opérations.

• Dommages à la réputation : la divulgation d'informations sensibles, en particulier si elles concernent des données de clients ou d'employés, peut gravement nuire à la réputation d'un individu ou d'une organisation. La confiance et la crédibilité peuvent être érodées, et il faudra parfois beaucoup de temps et d’efforts pour rétablir la confiance.

• Compromission étendue : les logiciels malveillants Infostealer font souvent partie d'une cyberattaque plus large. Une fois la violation initiale effectuée, les attaquants peuvent installer des outils malveillants supplémentaires, établir un accès persistant et continuer à exploiter le système compromis sur une période prolongée.

Ainsi, fondamentalement, les logiciels malveillants infostealer peuvent entraîner une cascade de conséquences négatives, allant des pertes financières et de l'invasion de la vie privée à l'atteinte à la réputation et aux répercussions juridiques. Les individus et les organisations doivent employer des mesures de cybersécurité robustes pour prévenir, divulguer et atténuer les risques associés aux menaces Infostealer.