Un faux site de téléchargement CCleaner propage un malware en plusieurs étapes qui détourne Chrome pour voler des informations d’identification, des cookies et des jetons d’authentification tout en enregistrant des frappes au clavier et des captures d’écran.
Une fausse version convaincante de l’utilitaire largement utilisé CCleaner est utilisée pour diffuser un malware Windows en plusieurs étapes qui abuse finalement de Google Chrome à des fins de vol d’informations d’identification et de surveillance.
Les chercheurs de Malwarebytes ont découvert que la campagne distribuait une extension Chrome malveillante appelée GhostDesk, qui peut capturer des informations d’identification, des cookies, des frappes au clavier et des captures d’écran tout en permettant aux attaquants d’injecter du JavaScript arbitraire dans les onglets actifs du navigateur.
Les attaquants ont créé un site de téléchargement similaire à CCleaner et l’ont utilisé pour distribuer un « CCleaner.exe » malveillant, a déclaré le chercheur Sav Wheeler dans un article de blog.
Aux côtés de GhostDesk, les chercheurs ont également identifié de fausses applications 7-zip et Adobe Acrobat utilisant les mêmes techniques et la même infrastructure de commande et de contrôle (C2).
CCleaner est un utilitaire de nettoyage de PC Windows populaire, avec plus de 2 milliards de téléchargements dans le monde. Wheeler a déclaré que « l’exécutable (faux CCleaner) supprime initialement une instance légitime de CScript, puis l’utilise pour lancer une série de scripts (malveillants) ».
Un faux nettoyeur avec une charge utile à plusieurs étages
L’attaque commence lorsqu’une victime télécharge le faux fichier exécutable CCleaner à partir du site usurpé « ccleanerwind(.)top ». Malwarebytes a découvert que les boutons de téléchargement standard et « Cleaner Pro » du site livraient le même fichier malveillant.
Une fois exécuté, « cscript.exe » exécute une série de scripts effectuant une reconnaissance de base du système, comme la collecte du GUID de la machine, du nom d’hôte et des langues prises en charge. Il remplace ensuite « runtimebroker.dll » dans le répertoire AppData de l’utilisateur par un chargeur réflexif et modifie le manifeste de l’extension de sécurité de Chrome.
Cette modification permet à l’attaquant d’injecter deux fichiers JavaScript, « background.js » et « content.js », qui s’exécutent comme une extension malveillante au démarrage de Chrome. Le malware qui en résulte, Malwarebytes, est suivi sous le nom de GhostDesk.
Alors que content.js a été vu enregistrant les frappes au clavier et analysant les formulaires soumis pour les informations d’identification, les jetons d’authentification et les informations financières, background.js a fourni le vol de cookies, la capture d’écran et l’exécution arbitraire de JavaScript.
content.js s’est également avéré capable de surveiller l’activité du presse-papiers et de remplacer les adresses de crypto-monnaie lorsque les victimes les collent sur des sites Web.
background.js assure la persistance car il communique via un relais WebSocket et peut rétablir cette connexion au démarrage de Chrome, a souligné Wheeler.
La campagne est plus grande que GhostDesk
L’impact de la campagne a été retracé au-delà des utilisateurs qui recherchaient spécifiquement CCleaner. Malwarebytes a trouvé de faux échantillons 7-zip et Adobe Acrobat en utilisant le même mécanisme de chargement CScript, les échantillons communiquant avec le même C2 sur « liderongrade.duckdns(.)org ».
La seule différence observée réside dans certains échantillons Adobe utilisant « wscript.exe » au lieu de cscript.exe, probablement des attaquants tentant d’adapter la livraison à différents logiciels, a noté Wheeler.
La combinaison des cookies du navigateur, des informations d’identification, des frappes au clavier et des captures d’écran constitue un compromis préoccupant pour les entreprises et contre lequel il vaut la peine de définir des protections. Les jetons d’authentification et les informations financières capturés ajoutent des risques supplémentaires.
Malwarebytes a recommandé de vérifier attentivement l’adresse Web avant de télécharger un logiciel, notant que les résultats de recherche sponsorisés peuvent être exploités par les cybercriminels. Il conseille également de traiter avec prudence les liens de téléchargement de logiciels partagés via les réseaux sociaux, les SMS et les e-mails, et de vérifier les téléchargements par rapport à des sources fiables telles que le site officiel de l’éditeur ou les magasins d’applications.
La société a également recommandé d’utiliser une solution anti-malware en temps réel à jour avec protection Web. Celui de Malwarebytes bloque les connexions à des sites dangereux tels que la fausse page d’accueil de CCleaner et détecte le faux programme d’installation sous le nom de « Trojan.Dropper », ajoute-t-il.
Garder à jour le système d’exploitation, le navigateur et les logiciels de sécurité reste indispensable.
