Logiciel malveillant WezRat

WezRat, une menace très avancée écrite en C++, est devenue un outil privilégié des cybercriminels pour récolter des informations et exécuter des tâches nuisibles. Actif depuis plus d'un an, WezRat continue d'évoluer avec des modules améliorés et une infrastructure adaptative. Sa dernière itération a été observée en train de se propager via des e-mails trompeurs, mettant en évidence l'ingéniosité de ses créateurs à cibler des victimes sans méfiance.

Ce malware se concentre principalement sur le vol de données, mais ses capacités vont bien au-delà. L'infiltration des systèmes ciblés sert de passerelle aux cybercriminels pour collecter des informations sensibles, perturber les opérations et exploiter les appareils compromis.

Collecte de données et surveillance du système

Une fois qu'un système est compromis, WezRat effectue une reconnaissance approfondie. Il collecte des informations détaillées telles que le chemin du profil utilisateur, l'adresse IP de la machine locale, le nom de l'ordinateur et le nom d'utilisateur. Ces points de données ne sont pas seulement catalogués, mais également exploités pour exécuter des attaques supplémentaires, notamment en sauvegardant des modules corrompus supplémentaires sur l'appareil infecté.

L'infrastructure de commande et de contrôle (C&C) de WezRat lui permet d'exécuter des commandes, de télécharger des fichiers et d'effectuer des actions telles que la capture de captures d'écran ou l'enregistrement de frappes au clavier. Des modules spécialisés téléchargés depuis le serveur C&C gèrent certaines de ces tâches, étendant ainsi encore les fonctionnalités du malware.

Techniques complètes de vol de données

WezRat utilise un arsenal de tactiques pour récolter des informations sensibles :

• Captures d’écran et surveillance : les cybercriminels peuvent prendre des instantanés de l’activité des utilisateurs, leur permettant d’extraire des données confidentielles affichées à l’écran.
• Enregistrement des frappes : en enregistrant chaque frappe, le logiciel malveillant capture les informations de connexion, les numéros de carte de crédit et d'autres informations privées saisies sur le clavier.
• Détournement du presse-papiers : le texte copié par la victime, comme les mots de passe ou les informations financières, est intercepté et envoyé aux attaquants.
• Vol de cookies : les cookies stockés dans le navigateur sont volés, ce qui permet aux acteurs malveillants de détourner les sessions des utilisateurs et d'obtenir un accès non autorisé aux comptes en ligne.

Tactiques du monde réel : déguisées en communication légitime

La dernière campagne de WezRat met en évidence l'expertise de ses opérateurs en matière de tromperie. Des courriels frauduleux, prétendument envoyés par la Direction nationale israélienne de la cybersécurité (INCD), demandent aux destinataires de mettre à jour leur navigateur Chrome via un lien. Les victimes qui cliquent sur le lien sont redirigées vers un site Web contrefait conçu pour imiter la page légitime de l'INCD.

Une fois sur le site, les victimes téléchargent sans le savoir un fichier nommé « Google Chrome Installer.msi ». Ce fichier combine un installateur Chrome légitime avec une porte dérobée malveillante, « Updater.exe ». Une fois exécutée, la porte dérobée se connecte à un serveur distant, modifiant le registre système pour assurer la persistance de WezRat.

Au-delà du courrier électronique : une multitude de méthodes de distribution

En plus des campagnes de phishing, WezRat a été distribué via d'autres canaux trompeurs :

• Logiciels piratés : l’intégration de logiciels malveillants dans des versions piratées de programmes légitimes reste une tactique courante.
• Publicités dangereuses : les fausses publicités incitent les utilisateurs à télécharger le logiciel malveillant sans le savoir.
• Sites Web trompeurs et tactiques d'assistance technique : les cybercriminels attirent leurs victimes avec des déclarations frauduleuses et les incitent à télécharger des fichiers infectés.
• Exploitation des vulnérabilités logicielles : en ciblant des logiciels obsolètes ou non corrigés, les attaquants installent le malware en silence.
• Réseaux peer-to-peer (P2P) : le logiciel malveillant est distribué via des plateformes de partage de fichiers, souvent déguisés en fichiers souhaitables.

Des capacités en évolution, une menace persistante

WezRat illustre la manière dont les menaces modernes s'adaptent et persistent. Sa capacité à collecter des données sensibles et ses diverses méthodes de distribution posent un sérieux défi aux défenses en matière de cybersécurité. En capturant l'activité des utilisateurs, en enregistrant les frappes au clavier et en détournant les sessions en ligne, WezRat permet aux cybercriminels d'exploiter de manière exhaustive les données personnelles et professionnelles des victimes.

Rester protégé contre WezRat

Les particuliers et les organisations doivent mettre en œuvre des mesures de cybersécurité rigoureuses pour contrer les menaces telles que WezRat. Éviter les liens suspects, maintenir les logiciels à jour et utiliser des outils de sécurité robustes peuvent réduire l'exposition à de telles menaces. La sensibilisation à la cybersécurité et les stratégies de défense proactives sont essentielles pour s'y retrouver dans le paysage des menaces d'aujourd'hui.

WezRat constitue un rappel brutal des risques posés par l’évolution des menaces et de l’importance de la vigilance dans la protection des environnements numériques.