Extradited Russian Hacker Faces Charges Over Excel Malware Campaign That Infected Thousands
Mis à jour :
Extradition d’un hacker russe lié à une campagne de malware via Excel
Un ressortissant russe, Searzhudin Tamirlanovich Aktulaev, a été extradé de Chypre vers les États-Unis pour avoir orchestré, entre 2016 et 2017, une vaste campagne de cybercriminalité ciblant les utilisateurs d’une plateforme de freelancing. En utilisant environ 255 faux comptes, il a piégé près de 80 000 victimes en leur envoyant des documents Excel vérolés.
Points clés :
- Mode opératoire : Les victimes recevaient des fichiers Excel contenant des macros malveillantes. Une fois exécutées, ces macros téléchargeaient des logiciels malveillants permettant une prise de contrôle à distance.
- Logiciels malveillants utilisés :
- TVRAT (TeamSpy) : Un cheval de Troie d’accès à distance basé sur TeamViewer.
- DarkVNC : Un outil de type hidden Virtual Network Computing (hVNC) permettant de créer un bureau invisible pour prendre le contrôle du poste infecté.
- Impact : Des milliers d’ordinateurs ont été compromis, permettant le vol d’identifiants de commerce électronique et d’informations personnelles (PII).
Vulnérabilités :
- Détournement de DLL (DLL Hijacking) : L’attaque exploitait une vulnérabilité de type DLL search order hijacking au sein de TeamViewer. Le malware remplaçait une bibliothèque légitime (
msimg32.dll) par une version malveillante, contournant ainsi la vérification des signatures numériques.
Recommandations :
- Blocage des macros : Depuis 2022, Microsoft bloque par défaut les macros VBA dans les fichiers Office téléchargés sur Internet. Il est crucial de maintenir ce paramètre activé et de ne jamais activer les macros provenant de sources inconnues.
- Vigilance sur les plateformes de travail : Les sites de recrutement et de freelancing sont des vecteurs privilégiés pour les campagnes de phishing et les offres d’emploi frauduleuses ; la prudence est requise lors de l’ouverture de documents joints provenant de contacts non vérifiés.
- Mises à jour logicielles : S’assurer que tous les logiciels installés, en particulier les outils d’accès à distance, sont à jour pour corriger les vulnérabilités de sécurité connues.