Attention ! Les malwares sont plus malins que vous ne le pensez !

Publié le 5 juillet 2018

Certains malwares sont présents sur le marché depuis des années et les antivirus ont appris à se défendre. Mais il est difficile de prévoir s’ils ne vont pas muter et devenir plus difficiles à éradiquer. Le cas d’aujourd’hui fait partie de cette catégorie et ce sont les chercheurs de chez Cisco Talos qui se sont penchés sur l’affaire.

La nouvelle version de Smoke Loader

Smoke Loader est loin d’être un inconnu dans l’univers des menaces du web. Il s’agit d’une application qui sert à télécharger et à lancer d’autres malwares sur l’ordinateur de la victime. Il est actif depuis 2011 et a été utilisé dans de nombreuses campagnes de phishing. Cette année, il est revenu sur le devant de la scène avec les failles Meltdown et Spectre où il était utilisé pour proposer de faux correctifs au téléchargement.

Le fonctionnement de Smoke Loader était finalement très classique : il était proposé en tant que pièce-jointe dans les mails (un fichier Word) et si l’utilisateur finissait par l’ouvrir et autoriser les macros, Smoke Loader commençait son travail de téléchargement de malwares additionnels.

Exemple de mail phishing où Smoke Loader se cache

Mais ces derniers temps, les actions de Smoke Loader ont changé ce qui a poussé les chercheurs de Cisco Talos à analyser son fonctionnement de plus près. Actuellement, le malware est utilisé pour tenter de subtiliser des informations bancaires comme des mots de passe ou des justificatifs. Et pour y arriver, Smoke Loader utilise une technique inédite appelée PROPagate.

Cette technique a pour but de tromper une fonction de Windows qui s’appelle « SetWindowsSubclass », un processus qui permet de mettre à jour des fenêtres de sous-classes du système. S’il est employé pour injecter du code sans que l’utilisateur ne le sache, cette action peut être néfaste pour l’ordinateur de la victime et c’est justement le but de Smoke Loader. Cette technique permet aussi de se prémunir des analyses antivirus et donc de ne rien craindre de celles-ci.

Cisco Talos a également remarqué que Smoke Loader pouvait installer des extensions de navigateurs ou même prendre le contrôle de logiciels comme TeamViewer, mettant en péril l’ensemble d’un réseau domestique.

Pour se prémunir contre ce type d’attaques, Cisco Talos recommande d’installer les correctifs de sécurité du système et des logiciels dès qu’ils sont disponibles mais aussi de se méfier des pièces-jointes des mails si vous ne connaissez pas l’expéditeur.

Source