Attention aux sources d’où vous téléchargez vos logiciels. Cela pourrait vous nuire. Et cette nouvelle campagne le rappelle une fois de plus.
Au fait, des pirates exploitent aujourd’hui la popularité de Notepad++ pour piéger leurs victimes. Rassurez-vous, ils n’ont pas piraté le célèbre éditeur de texte. Cela dit, ils ont fait mieux.
Ils ont diffusé une copie authentique du programme à laquelle ils ajoutent un plugin malveillant. Grâce à cela, au premier lancement, plusieurs logiciels malveillants s’installent discrètement sur l’ordinateur. Et ce, sans que l’utilisateur ne se doute de quoi que ce soit.
Cette campagne a été repérée en Ukraine. Elle est attribuée au groupe UAC-0099, connu pour viser des organisations ukrainiennes et régulièrement associé à des opérations liées au groupe Sandworm.
Cette fois cependant, aucune faille de sécurité n’est exploitée et les serveurs officiels de Notepad++ n’ont jamais été compromis. Les attaquants misent simplement sur une version du logiciel qu’ils modifient avant de la distribuer.
Comment les hackers procèdent ?
Selon le CERT-UA, l’équipe ukrainienne chargée de la réponse aux incidents de cybersécurité, tout commence par une archive ZIP. Celle-ci contient un fichier VBS déguisé en document PDF.
Si la victime ouvre ce faux document, le script télécharge automatiquement une seconde archive nommée Evernote.zip. Puis, il installe son contenu dans un dossier créé aléatoirement sur l’ordinateur.
À l’intérieur se trouvent plusieurs éléments. Une copie parfaitement légitime de Notepad++ 8.8.3, une version officielle de WinRAR, une archive protégée par mot de passe et surtout une bibliothèque baptisée NppExport.dll.
Ce dernier est un faux plugin conçu pour être chargé automatiquement par Notepad++ grâce à son système normal d’extensions. Une fois le logiciel lancé, cette DLL active un premier composant malveillant appelé LunchPoke.
Sa mission est de conserver un accès permanent au PC en créant une tâche planifiée. Elle installe ensuite d’autres outils destinés à poursuivre l’attaque.
Parmi eux figure BurnyBear, qui sert de relais avant de lancer MatchBoil V2. Celui-ci communique avec les serveurs des pirates. Il récupère de nouvelles instructions ainsi que d’autres programmes malveillants puis utilise WinRAR pour les décompresser et les installer.
Si l’opération échoue, BurnyBear peut également saturer la mémoire vive et le processeur de la machine afin de perturber son fonctionnement.
Pour l’instant, le CERT-UA n’a pas révélé quelles étaient les charges utiles finales ni quelles organisations ont été touchées par cette campagne.
Faut-il se méfier de Notepad++ ?
Contrairement à ce que l’on pourrait croire, Notepad++ n’est pas vulnérable dans cette affaire. Les cybercriminels exploitent simplement une fonctionnalité normale du logiciel : le chargement automatique des plugins au démarrage.
En distribuant leur propre copie de Notepad++ déjà accompagnée d’une DLL malveillante, ils transforment l’éditeur de texte en porte d’entrée pour leurs malwares.
La meilleure protection reste donc de télécharger les logiciels uniquement depuis leurs sites officiels. Un programme reçu par e-mail, messagerie instantanée ou via un lien douteux mérite toujours d’être considéré avec méfiance. Surtout lorsqu’il est présenté comme un simple document.
Il est également conseillé d’utiliser les versions les plus récentes des logiciels concernés. Notamment Notepad++ 8.9.7, 7-Zip 26.02 et WinRAR 7.23. Ces mises à jour ne bloqueront pas une archive déjà piégée.
Cela dit, elles corrigent plusieurs vulnérabilités connues qui pourraient être exploitées en complément de ce type d’attaque. Dans les entreprises, le blocage des scripts VBS provenant de sources externes et la surveillance des nouvelles tâches planifiées sont aussi recommandés.
Ces mesures supplémentaires permettent de limiter fortement ce genre d’infection.
- Partager l'article :
