Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. D'après les données du flux RSS, il s'installe furtivement et s'exécute silencieusement en arrière-plan. Son nom suggère un lien avec Cobalt Strike, un outil fréquemment détourné par les attaquants. Le flux RSS ne précise pas comment cet échantillon est utilisé en pratique ; les détails supplémentaires ci-dessous décrivent donc le comportement typique d'un cheval de Troie.

Que fait la menace ?

La description indique que le cheval de Troie s'exécute discrètement en arrière-plan et effectue des actions malveillantes. Il peut donner aux pirates informatiques un contrôle total sur un système infecté. La description mentionne également la possibilité de supprimer des fichiers à l'insu du pirate, mais le texte est tronqué ensuite ; la liste complète des actions effectuées reste donc inconnue.

L'échantillon analysé présente les caractéristiques techniques suivantes :

• Une DLL native Windows 64 bits qui exporte des fonctions (et non une application .NET).
• Construit comme un fichier de sous-système de console, et non compressé.
• Aucune signature numérique, aucune information de débogage et aucune information de relocalisation.
• Appelle directement les fonctions système de bas niveau de ntdll.dll, notamment celles permettant d'écrire des fichiers, d'interroger et de libérer la mémoire virtuelle, et d'interroger les informations sur les processus.

L'utilisation directe d'appels système de bas niveau est fréquente dans les logiciels qui tentent de contourner les outils de surveillance, bien que le flux de données n'en précise pas la finalité. Sur 16 blocs de code analysés, 11 ont été signalés comme potentiellement malveillants et 5 ont été autorisés. Aucun n'était inconnu.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique que ce cheval de Troie arrive le plus souvent de l'une des manières suivantes :

• En exploitant les vulnérabilités et les failles de sécurité du système.
• Par le biais de téléchargements de logiciels provenant de sites web malveillants.
• Par le biais de pièces jointes à des courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Déguiser un fichier malveillant en image ou en vidéo est une astuce classique pour inciter les gens à l'ouvrir.

Risques pour l’utilisateur

Le principal danger est la perte de contrôle de l'ordinateur. Si un attaquant obtient un accès complet, les conséquences typiques de tels chevaux de Troie sont les suivantes :

• Vol de données personnelles, de mots de passe et d'informations financières.
• Suppression ou altération de fichiers.
• Installation de logiciels malveillants supplémentaires.
• Utilisation du PC comme tremplin pour attaquer d'autres appareils du même réseau.

Ces résultats sont typiques des menaces d'accès à distance et ne sont pas confirmés pour cet échantillon spécifique, mis à part le contrôle et la suppression de fichiers mentionnés dans la description.

Signes d’infection

Le cheval de Troie est conçu pour rester invisible, il peut donc ne présenter aucun symptôme évident. Les signes avant-coureurs typiques de ce type de menace sont les suivants :

• Ralentissements inexpliqués ou activité élevée du processeur ou du réseau.
• Des fichiers qui disparaissent ou changent sans explication.
• Processus ou fichiers DLL inconnus en cours d'exécution.
• Les paramètres de sécurité ont été modifiés sans votre intervention.
• Connexions sortantes inattendues.

Comme les symptômes sont souvent absents, une analyse complète avec un outil anti-malware à jour et réputé est la méthode la plus fiable pour vérifier la présence de logiciels malveillants.

Comment rester protégé

1. Maintenez Windows et tous les logiciels installés à jour, car le cheval de Troie peut exploiter des failles connues.
2. Téléchargez les logiciels uniquement à partir de sources officielles et évitez les sites web inconnus.

Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète et modifiez vos mots de passe importants depuis un appareil sain. Si l'ordinateur contient des données sensibles, envisagez de faire appel à un professionnel, car un pirate informatique a peut-être obtenu un contrôle total à distance.