L’hameçonnage est l’un des moyens les plus répandus de l’implantation des logiciels pirates. Ces mails frauduleux nécessitent généralement une action de la part de l’utilisateur pour activer leur contenu corrompu, comme un clic sur un lien écrit dans le texte ou un document Microsoft office attaché en pièce jointe. Les fichiers Word et Excel sont souvent utilisés pour implanter les rançongiciels, avec des macros programmées pour le vol de données.
Les macros sont des dangers en puissance, car elles sont capables de renfermer des codes frauduleux ; elles sont ainsi désactivées par défaut et ne fonctionneront que si elles sont lancées manuellement par l’utilisateur. Quand un document Office est ouvert, un message d’alerte apparaîtra pour signifier la présence d’une macro et signifier à l’utilisateur son caractère potentiellement dangereux. Si la macro n’est pas autorisée manuellement par l’utilisateur, le logiciel malveillant associé ne peut pas être téléchargé.
Une campagne d’hameçonnage a récemment été détectée ; c’était une campagne typique d’implantation de logiciel pirate, comme on en voit régulièrement. L’attaque initiale fut menée via des mails frauduleux ayant en pièces jointes des documents Office contenant des macros invitant l’utilisateur à télécharger un malware : dans le cas présent, ZLoader. Toutefois, une nouvelle méthode se répand aujourd’hui pour faire circuler des fichiers Office corrompus capables de désactiver les alertes informatiques aux macros et la protection automatique associée.
Dans cette campagne pirate, les éléments corrompus du rançongiciel ZLoader sont délivrés par mail, mais le corps du message ne contient pas de code malicieux ; c’est par une pièce jointe au format Microsoft Word que le piège se déclenche, initiant le téléchargement d’une feuille de calcul Excel protégée par un mot de passe depuis le serveur du cybercriminel permettant l’ouverture du fichier pirate et la mise en action de la macro.
Cette cyber-attaque s’appuie sur les éléments VBA et DDE de Microsoft Excel afin de corrompre les systèmes supportant les fichiers au format XLS.
Une fois que le fichier crypté Excel est téléchargé, le logiciel formaté VBA de Word lit les informations inscrites spécifiquement dans le document XLS. Le VBS de Word transforme ensuite le contenu des cellules au format VBA XLS afin de créer une nouvelle macro pour le fichier XLS. Une fois cela fait, le système de défense contre les macros d’Excel se trouve désactivé par le document Word qui l’a inscrit dans le registre des éléments autorisés par le programme pour désactiver les alertes de sécurité anti-macro d’Excel. Le VBA d’Excel autorise alors le téléchargement des fichiers corrompus de ZLoader, exécutés ensuite en utilisant rundll32.exe.
Bien que les fichiers corrompus soient téléchargés et installés à l’insu de l’utilisateur, cette attaque requiert quand même que sa victime autorise les macros dans le document Word initial. C’est très simple : il suffit de l’inviter à le faire en lui disant, par exemple, « ce document fut créé dans une version antérieure de Microsoft Word Office. Pour consulter ou éditer ce document, veuillez cliquer sur ‘‘autoriser le contenu’’ » à l’ouverture du document Word. Un simple clic sur cette invitation permettra l’activation de tout le processus d’infection du système.
ZLoader est une variante du tristement célèbre Cheval de Troie Zeus, apparu pour la première fois en 2006. Ce logiciel malveillant est aussi connu sous le nom de « ZBot » ou encore « Silent Night ». De nombreux cybercriminels l’utilisent : ce fut le cas pour de nombreuses campagnes de cyber-fraudes en 2020, prétextant des réductions sur des services de protection contre la Covid-19 ou des leurres encore plus répandus comme des offres d’emploi.
Une fois installé, le logiciel malveillant utilise divers modules pour voler les mots de passe de l’utilisateur, ses identifiants et même les informations des cookies de ses navigateurs ! Lorsque l’utilisateur se connecte à sa banque en ligne et accède à ses comptes sur un ordinateur infecté, les informations bancaires et toutes les données personnelles sont volées et exfiltrées sur le serveur C2 du cyber-pirate.
Afin de renforcer vos défenses contre les logiciels malveillants et l’hameçonnage, contactez l’équipe de TitanHQ dès aujourd’hui afin de vous renseigner sur les offres de sécurité email SpamTitan et de sécurité internet WebTitan. Ces deux offres peuvent être téléchargées et installées simultanément sur votre système pour vous protéger contre une foule de menaces informatiques en moins d’une heure. Vous disposerez d’un essai gratuit sans engagement de 14 jours vous permettant d’évaluer le service proposé, sa simplicité d’utilisation et son efficacité en matière de blocage des dangers numériques avant d’opter pour son achat.