70 banques européennes et sud-américaines attaquées par le logiciel malveillant BizarroBanking

 18 mai 2021 Ravie Lakshmanan

Un gang de cybercriminalité motivé financiè rement a dé chaî né un cheval de Troie bancaire auparavant sans papiers, qui peut voler les informations d'identification des clients de 70 banques situé es dans divers pays d'Europe et d'Amé rique du Sud.

Surnommé « Bizarro » par les chercheurs de Kaspersky, le malware Windows «utilise des affilié s ou recrute des mules pour opé rationnaliser leurs attaques, encaisser ou simplement aider [sic] à effectuer des transferts».

La campagne se compose de plusieurs parties mobiles, dont la principale est la capacité de tromper les utilisateurs en leur faisant entrer des codes d'authentification à deux facteurs dans de fausses fenê tres contextuelles qui sont ensuite envoyé es aux attaquants, ainsi que sa dé pendance à l'é gard des leurres d'ingé nierie sociale pour convaincre les visiteurs des sites Web bancaires en té lé chargeant une application malveillante pour smartphone.

Bizarro, qui utilise des serveurs WordPress, Amazon et Azure compromis pour hé berger le malware, est distribué via des packages MSI té lé chargé s par les victimes à partir de liens fragmentaires dans des e-mails de spam. Le lancement du package té lé charge une archive ZIP contenant une DLL é crite en Delphi, qui injecte ensuite l'implant fortement masqué. De plus, le module principal de la porte dé robé e est configuré pour rester inactif jusqu'à ce qu'il dé tecte une connexion à l'un des systè mes bancaires en ligne codé s en dur.

" Lorsque Bizarro dé marre, il tue d'abord tous les processus du navigateur pour mettre fin à toutes les sessions existantes avec des sites Web bancaires en ligne", ont dé claré les chercheurs. «Lorsqu'un utilisateur redé marre les navigateurs, il sera obligé de saisir à nouveau les informations d'identification du compte bancaire, qui seront capturé es par le logiciel malveillant. Une autre é tape que Bizarro prend afin d'obtenir autant d'informations d'identification que possible est de dé sactiver la saisie semi-automatique dans un navigateur. "

Alors que la fonction principale du cheval de Troie est de capturer et d'exfiltrer les informations d'identification bancaires, la porte dé robé e est conç ue pour exé cuter 100 commandes à partir d'un serveur distant qui lui permet de ré colter toutes sortes d'informations sur les machines Windows, contrô ler la souris et le clavier de la victime, enregistrer les frappes au clavier, capturer des captures d'é cran, et mê me limiter les fonctionnalité s de Windows.

Bizarro n'est que le dernier exemple de la faç on dont les chevaux de Troie bancaires bré siliens affectent de plus en plus les appareils Windows et Android, rejoignant des logiciels malveillants tels que Guildma, Javali, Melcoz, Grandoreiro (collectivement appelé s Tetrade ), Amavaldo, Ghimob et BRATA, tout en se dé veloppant simultané ment. leur empreinte de victimologie en Amé rique du Sud et en Europe.

" Les acteurs de la menace derriè re cette campagne adoptent diverses mé thodes techniques pour compliquer l'analyse et la dé tection des logiciels malveillants, ainsi que des astuces d'ingé nierie sociale qui peuvent aider à convaincre les victimes de fournir des donné es personnelles lié es à leurs comptes bancaires en ligne", ont dé claré les chercheurs.