Un groupe criminel, nommé StopAndProtect par l'entreprise Check Point Research, utilise environ 2000 blogs WordPress mal maintenus pour héberger des logiciels malveillants qui volent les phrases de récupération de portefeuilles de cryptomonnaie, les mots de passe et les fichiers d'ordinateurs Windows infectés.
Pour les détenteurs de cryptomonnaies, le point le plus alarmant est que les pièges sont installés sur des sites légitimes, qui ressemblent à des blogs d'entreprise ou des sites web ordinaires.
Check Point a publié des détails le 18 août, reliant un échantillon de rançongiciel détecté mi-mai à une campagne de rançon et de surveillance plus large.
Pourquoi l'auteur publie-t-il cette histoire ?
La plupart des logiciels malveillants sont distribués depuis des serveurs loués ou piratés par les attaquants. StopAndProtect adopte une approche différente, explique le chercheur Jaromir Horejsi. Leurs rançongiciels, leurs charges utiles, leur infrastructure de commande et de contrôle, ainsi que leur stockage de données volées sont hébergés sur des domaines WordPress, pour lesquels les criminels n'ont pas eu à payer ou qu'ils n'ont pas eu à pirater.
« C'est la partie la plus intéressante de la campagne », a noté Horejsi. Un seul serveur peut héberger la charge utile, rediriger les instructions vers les ordinateurs compromis et stocker les fichiers volés. Selon Security Affairs, un site web piraté n'est plus simplement un site web piraté. Il peut devenir une tête de pont pour les attaques d'autres acteurs malveillants.
Les sites sont mal maintenus, comme l'a découvert l'équipe de Horejsi lorsqu'elle a décidé d'examiner l'instance WordPress derrière l'un des domaines malveillants. Le chercheur a trouvé près de 40 vulnérabilités différentes dans le logiciel, datant de 2021.
Comment fonctionne l'attaque de phishing utilisant un CAPTCHA falsifié
Les détenteurs de cryptomonnaies doivent être particulièrement vigilants face à cette menace. La campagne de phishing trompe les utilisateurs de Windows en leur faisant croire qu'ils doivent passer un CAPTCHA pour accéder à un site web. Cependant, le CAPTCHA est en réalité une escroquerie, et les utilisateurs qui tentent de le résoudre se verront demander de copier-coller une commande PowerShell dans l'invite de commandes.
Cette commande PowerShell déclenchera le téléchargement de logiciels malveillants .NET, qui permettront à l'attaquant de voler les mots de passe enregistrés, les phrases de récupération des portefeuilles de cryptomonnaie et d'autres données depuis l'ordinateur compromis.
Le logiciel malveillant peut également copier des fichiers depuis des dossiers réseau partagés, des clés USB, prendre des captures d'écran de l'ordinateur infecté et même le chiffrer pour exiger une rançon. Selon Decrypt, les utilisateurs doivent se méfier des sites qui leur demandent de coller ou de saisir quelque chose, et quitter la page dès qu'ils voient une telle demande.
Les portefeuilles de cryptomonnaie ne sont pas la seule cible de cette campagne. Dans de nombreux cas, les attaquants utilisent le logiciel malveillant pour voler des fichiers depuis l'ordinateur de la victime. Selon les rapports, les attaquants parcourent les fichiers sur l'ordinateur infecté et sélectionnent les plus intéressants à voler.
Les versions plus récentes du logiciel malveillant sont également capables d'enregistrer les frappes au clavier, de prendre des captures d'écran toutes les 30 secondes et même d'utiliser WhatsApp pour photographier la liste de contacts de la victime.
Ce que les attaquants ont publié en ligne
Les informations les plus précieuses sur la campagne StopAndProtect proviennent des propres serveurs des attaquants. Les assaillants ont utilisé des méthodes de cybersécurité inefficaces, laissant des répertoires et des fichiers journaux accessibles depuis Internet. Check Point soupçonne que l'un des ordinateurs des attaquants a été piraté, et que les criminels ont téléchargé certains fichiers sur le serveur.
Parmi les fichiers, Horejsi a découvert le code source d'un outil d'automatisation que les attaquants utilisaient pour gérer les sites web piratés.
Cet outil, écrit dans l'ancien langage Visual Basic 6, permet à l'attaquant de basculer à distance la page de phishing CAPTCHA, de rediriger les visiteurs du site et de mettre à jour le logiciel malveillant sur les sites compromis. Les fichiers texte joints à l'outil contiennent également une liste de près de 2000 domaines qui ont été piratés et transformés en sites de phishing.
Les journaux d'événements ont également aidé le chercheur à comprendre l'ampleur de l'attaque. Au 24 juillet, plus de 6000 adresses IP uniques avaient été infectées par la campagne. Parmi elles, 1852 utilisateurs se trouvaient aux États-Unis, et 630 respectivement en Russie et en Inde.
Entre mi-mai et fin juillet, les chercheurs ont découvert plus de 700 archives de fichiers volés. Dans l'un des dossiers ouverts sur le serveur se trouvaient plus de 20 000 captures d'écran d'ordinateurs de victimes.
