Les cybercriminels semblent avoir trouvé une recette qui fonctionne. Après une récente campagne reposant sur plus de 220 faux dépôts, une nouvelle opération encore plus vaste vient d’être découverte sur GitHub.
Cette fois, près de 300 dépôts frauduleux imitent des éditeurs de logiciels et des entreprises spécialisées dans la cybersécurité. Cela, afin d’inciter les victimes à télécharger un prétendu logiciel gratuit.
En réalité, le téléchargement installe un malware de la famille BoryptGrab, conçu pour dérober une grande quantité de données personnelles.
Des dépôts frauduleux sur GitHub
Les chercheurs d’Arctic Wolf ont identifié 292 dépôts GitHub créés depuis la fin du mois de juin à l’aide de comptes temporaires. Leur fonctionnement est quasiment identique.
Chaque dépôt affiche un fichier README rempli de textes promotionnels copiés depuis les véritables sites des logiciels imités. Au milieu de cette présentation se trouve un bouton invitant les visiteurs à accéder à une soi-disant page officielle de téléchargement.
Le plus étonnant est que les pirates ne créent pas des centaines de sites différents. Ils utilisent un seul modèle HTML et JavaScript. Celui-ci imite automatiquement n’importe quelle marque.
Le script lit simplement l’adresse URL pour modifier le nom du logiciel, le titre de la page et même certains badges destinés à inspirer confiance. Comme un faux label « VirusTotal Approved ». Parmi les marques copiées figure même… Arctic Wolf, l’entreprise même qui a découvert cette campagne.
Heureuse que les signalements transmis à GitHub ont déjà permis de supprimer la majorité de ces faux dépôts. Malgré cela, plusieurs dizaines de liens de redirection restaient encore actifs au moment de l’enquête. Ce qui laisse la porte ouverte à de nouvelles victimes.
Le piège, comment ça marche ?
Tout commence lorsque l’utilisateur clique sur le bouton vert proposant un téléchargement sécurisé. Derrière cette apparence rassurante se cache un serveur contrôlé par les cybercriminels.
Celui-ci génère automatiquement une archive ZIP spécialement préparée pour l’occasion. Le fichier semble crédible. Il approche les 136 Mo, un poids qui correspond davantage à celui d’un véritable logiciel qu’à celui d’un simple malware.
Pourtant, la plupart des fichiers présents ne servent absolument à rien. Ils sont uniquement ajoutés pour donner l’illusion d’un programme complet. Les éléments réellement dangereux sont beaucoup moins nombreux.
L’archive contient une version légitime et signée de WinGUP. S’ajoutent un utilitaire de mise à jour bien connu, ainsi qu’une bibliothèque libcurl.dll modifiée par les attaquants.
Lorsque la victime lance l’application, Windows charge cette bibliothèque piégée au lieu de la version authentique. Cette technique est appelée détournement de chargement dynamique ou DLL sideloading. Et elle permet au malware de s’exécuter sans éveiller immédiatement les soupçons.
Les pirates sont d’ailleurs prudents. Ils modifient régulièrement le nom de l’archive ZIP ainsi que celui de l’exécutable qu’elle contient. Ces changements interviennent environ toutes les soixante secondes. Ce qui rend la détection plus difficile.
Face à une telle cadence, difficile de ne pas se demander si l’IA y est pour quelque chose. Cela dit, les chercheurs pensent que cette fois, cette technologie est innocente. Les indices techniques montrent plutôt un système largement automatisé grâce à des scripts classiques.
Le modèle de page est réutilisé pour toutes les marques. Les textes marketing proviennent directement des sites officiels. Certains comptes utilisés pour héberger les redirections comportent même des insultes en russe. Un détail qui ressemble davantage à la signature de leurs auteurs qu’au travail d’une IA.
Comment le malware procède ?
Une fois installé, BoryptGrab ne perd pas de temps. Avant de voler quoi que ce soit, il dresse un profil détaillé de l’ordinateur infecté. Il collecte notamment l’adresse MAC, les caractéristiques de la carte graphique ainsi qu’une empreinte du fond d’écran.
Cette dernière permet aux pirates de reconnaître une machine déjà compromise. Mais aussi d’identifier certains environnements utilisés par les chercheurs en cybersécurité.
Le véritable pillage commence ensuite. Le malware cible au moins dix-neuf navigateurs, dont Chrome et Edge, afin de récupérer les mots de passe, les cookies et d’autres informations protégées. Pour contourner le chiffrement, il injecte directement son code dans les processus des navigateurs.
Les applications de messagerie sont également visées. Les sessions Telegram sont copiées. Les jetons Discord sont récupérés par plusieurs méthodes. Et les identifiants de Max, la messagerie de Meta, sont aussi recherchés.
Les joueurs ne sont pas oubliés. Si Steam est installé, le malware peut relancer automatiquement l’application et analyser sa mémoire afin d’en extraire les jetons de session actifs.
Les amateurs de cryptomonnaies représentent aussi une cible privilégiée. Les chercheurs ont identifié plus de quarante emplacements correspondant à une trentaine de portefeuilles numériques différents.
Le logiciel malveillant ne cherche toutefois pas à rester installé durablement sur l’ordinateur. Il ne met en place aucun mécanisme de persistance et ne fait pas d’efforts particuliers pour échapper aux outils d’analyse.
En revanche, il oublie de supprimer plusieurs fichiers temporaires, laissant derrière lui des traces précieuses pour les enquêteurs… mais seulement après avoir transmis les données volées aux cybercriminels.
- Partager l'article :
