Le malware StrongPity corrompt les installateurs légitimes WinRaR, TrueCrypt

L'équipe de sécurité de Kaspersky Lab est tombée sur un malware récemment découvert appelé StrongPity qui corrompt des fichiers WinRAR et TrueCrypt légitimes..

WinRAR est l'un des meilleurs services pour l'archivage de fichiers sur Windows ainsi que pour la compression et l'extraction, tandis que TrueCrypt est un outil de cryptage à la volée abandonné. StrongPity cible les ordinateurs en se déguisant en installateur pour ledit logiciel et en acquérant un contrôle total. Il peut également essayer de voler des fichiers, de les corrompre ou même de télécharger de nouveaux modules sur la machine.

Le malware a été observé dans des endroits du monde entier, notamment en Turquie, en Afrique du Nord et au Moyen-Orient et, selon Kaspersky Lab, les principaux emplacements de ce morceau de code infecté se trouvent en Italie et en Belgique. La stratégie utilisée par les attaquants pour tromper les utilisateurs consiste à remplacer deux lettres transposées dans leurs noms de domaine et à garder leur URL aussi proche que possible du site d'installation authentique. Le lien de fichier du programme d'installation est ensuite redirigé vers le site du distributeur WinRAR légitime et il ne s'agit que du front WinRAR.

Dans l'image ci-dessous, vous pourrez repérer un bouton bleu que nous avons mis en évidence et qui redirige les utilisateurs vers `` ralrab [.] Com '' emmenant les victimes vers des sites de logiciels corrompus, et dans certains cas (dont l'un a été enregistré en Italie) où les utilisateurs n'étaient pas dirigés vers des sites Web simulés mais vers le malware StrongPity lui-même.

«Les données de Kaspersky Lab révèlent qu'au cours d'une seule semaine, des logiciels malveillants fournis par le site du distributeur en Italie sont apparus sur des centaines de systèmes à travers l'Europe et l'Afrique du Nord / Moyen-Orient, avec de nombreuses infections probables», a déclaré la société. «Pendant tout l'été, l'Italie (87%), la Belgique (5%) et l'Algérie (4%) ont été les plus touchées. La géographie de la victime du site infecté en Belgique était similaire, les utilisateurs en Belgique représentant la moitié (54%) des plus de 60 appels réussis. »

En dehors de cela, le logiciel malveillant dirigeait également les utilisateurs vers des pages Web trompeuses et corrompues au lieu du programme d'installation du logiciel TrueCrypt. Bien que de nombreux liens corrompus WinRAR aient été supprimés, il reste encore quelques installateurs TrueCrypt, comme suggéré par le rapport de septembre de Kapersky Labs. Les développements pour TrueCrypt ont été interrompus à partir de mai 2014 après l'abandon de Windows XP par Microsoft.

Kurt Baumgartner, le principal chercheur en sécurité chez Kaspersky Lab, compare StrongPity aux attaques Crouching Yeti / Energetic Bear qui ont envahi et infecté des sites de distribution de logiciels authentiques. Il qualifie cette tendance de «indésirable et dangereuse» et dit qu'elle doit être traitée immédiatement.

«Ces tactiques sont une tendance indésirable et dangereuse à laquelle l'industrie de la sécurité doit s'attaquer. La recherche de la vie privée et de l'intégrité des données ne doit pas exposer un individu à des dégâts de points d'eau offensants. Les attaques de points d'eau sont intrinsèquement imprécises et nous espérons susciter la discussion sur la nécessité d'une vérification plus facile et améliorée de la fourniture des outils de chiffrement. » dit Kurt Baumgartner.

Tout ce que nous pouvons faire est de tenir nos utilisateurs informés et de leur conseiller d'être intelligents et prudents lors de l'installation des utilitaires, car ils peuvent contenir des liens trompeurs. Les logiciels malveillants destructeurs comme StrongPity peuvent facilement transformer votre PC en une machine endommagée.

• StrongPity
• truecrypt
• winrar