Recherche avancée sur les menaces : analyse approfondie du malware Collector-Stealer d’origine russe

Collector-stealer, un logiciel malveillant d’origine russe, est largement utilisé sur Internet pour exfiltrer des données sensibles depuis les systèmes des utilisateurs finaux et les stocker dans ses panneaux de commande et de contrôle (C&C). Afin d’aider le secteur à se prémunir contre cette menace, Aditya K Sood et Rohit Chaturvedi, de l’Advanced Threat Research Center of Excellence rattaché à l’Office of the CTO de F5, présentent une analyse à 360 degrés du logiciel malveillant Collector-stealer afin de mettre au jour des artefacts cachés, en abordant l’analyse binaire, son fonctionnement et la conception des panneaux C&C associés.

Collector-stealer s’est largement répandu en relativement peu de temps. Les informations dérobées par ce logiciel malveillant sont généralement mises à disposition sur des marchés clandestins à des fins malveillantes. Les attaquants qui utilisent Collector-stealer ciblent principalement les pays européens, mais ce logiciel touche également des utilisateurs dans d’autres pays, notamment aux États-Unis, en Chine et au Cambodge.

Voici quelques-uns des points marquants et des caractéristiques intéressantes de Collector-stealer mis en évidence par cette analyse :

• Collector-stealer utilise plusieurs méthodes pour déclencher l’infection, notamment :
  • Inciter les utilisateurs à consulter des portails d’hameçonnage proposant des téléchargements de jeux gratuits
  • Packs de logiciels d’activation/de crack de Windows
  • Faux portail web de minage (portail web imitant le contenu d’un portail d’un fournisseur de logiciels de cryptomonnaie afin de déclencher des attaques par téléchargement furtif)
• Le logiciel malveillant Collector Stealer est écrit en C++ et infecte la machine de l’utilisateur afin de dérober des données sensibles, telles que les mots de passe enregistrés, les données de navigation, les cookies, les captures d’écran, etc. Les auteurs du logiciel malveillant ont utilisé des techniques d’obfuscation dans leur code afin de compliquer la tâche des chercheurs et de rendre le code plus difficile à analyser.
  
• Avant d’envoyer les données au serveur C&C, Collector-stealer vérifie la connexion Internet de la machine de la victime en envoyant une requête ping à l’adresse IP 1.1.1.1 du résolveur DNS de Cloudflare. Si la requête ping échoue, il supprime de la machine de la victime le fichier exécutable ainsi que les données collectées, puis quitte silencieusement. Dans le cas contraire, il envoie les données collectées au serveur C&C.
  
• Collector-stealer utilise le protocole HTTP et la méthode POST pour envoyer les données collectées. Avant l’envoi, le logiciel malveillant compresse les données dans un fichier d’archive .zip, qui est ensuite transmis au serveur C&C.
  

Collector-stealer a gagné en popularité sur les forums clandestins grâce à ses nombreuses fonctionnalités malveillantes. Nous avons constaté que de nombreux utilisateurs souhaitaient acheter ce logiciel malveillant, et certains groupes ont même tenté d'en proposer une version piratée. Le groupe russe « Hack_Jopi » vend Collector-stealer sur des forums depuis octobre 2018.

L’étude complète présentant une analyse détaillée de ce logiciel malveillant a été publiée dans Virus Bulletin. Pour consulter l’article de recherche qui approfondit les éléments ci-dessus ainsi que d’autres conclusions, rendez-vous à l’adresse suivante :
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/ 

Bonne lecture !