iT-News (Gmail, C&C de cyberespionnage Turla) – Les chercheurs d’ESET ont découvert une nouvelle version de la Backdoor ComRAT, l’une des plus anciennes familles de malwares opérées par le groupe Turla. Egalement appelé Snake, Turla, est un groupe de cyberespionnage actif depuis plus de dix ans. La fonctionnalité la plus intéressante de cette Backdoor est l’utilisation de l’interface web de Gmail pour recevoir des commandes et exfiltrer des données. ComRAT s’est attaqué à au moins trois institutions gouvernementales depuis 2017 pour y dérober des documents sensibles. ESET a découvert que cette dernière version de ComRAT était toujours utilisée au début de l’année 2020, ce qui montre que le groupe Turla est toujours très actif et constitue une menace majeure pour les diplomates et les militaires.
La principale utilisation de ComRAT est le vol de documents confidentiels. Lors d’une campagne spécifique, ses opérateurs ont même déployé un exécutable .NET pour interagir avec le serveur de base de données MS SQL d’une victime contenant les documents de l’organisation. Les opérateurs du malware ont utilisé des services de Cloud public tels que OneDrive et 4shared pour exfiltrer des données. La dernière version de la Backdoor de Turla est en mesure d’effectuer de nombreuses autres actions sur les ordinateurs compromis, notamment lancer des programmes supplémentaires et exfiltrer des fichiers.
Les moyens mis en œuvre pour échapper à la détection par les solutions de sécurité sont préoccupant. « Cela montre le niveau de sophistication de ce groupe et son intention de s’implanter à long terme dans les machines, » explique Matthieu Faou, qui a enquêté sur le groupe pendant plusieurs années. « Grâce à l’utilisation de l’interface web de Gmail, la dernière version de ComRAT est capable de contourner certains contrôles de sécurité, car elle n’utilise aucun domaine malveillant, » poursuit M. Faou.
ESET a découvert une mise à jour importante de la Backdoor en 2017. Elle est beaucoup plus complexe que les versions précédentes. La dernière itération de la Backdoor découverte par les chercheurs d’ESET a été compilée en novembre 2019.
« En étudiant la victimologie et les échantillons du malware présents sur les machines compromises, nous estimons que ComRAT est utilisé exclusivement par Turla, » ajoute M. Faou. ComRAT, également appelé Agent.BTZ, est une Backdoor malveillante qui est devenue célèbre après avoir été utilisée dans une faille de sécurité qui a touchée l’armée américaine en 2008. La première version de ce malware, probablement lancée en 2007, était un ver qui se propageait via des disques amovibles.
Pour plus de détails techniques sur ComRAT ainsi qu’une liste complète et exhaustive des indicateurs de compromis (IoC), veuillez lire le livre blanc d’ESET « From Agent.BTZ to ComRAT v4: a ten year journey » sur WeLiveSecurity. Suivez l’actualité d’ESET Research sur Twitter
À propos d’ESET
Spécialisé dans la conception et le développement de logiciels de sécurité pour les entreprises et le grand public, ESET est aujourd’hui le 1er éditeur de l’Union européenne en matière de sécurité des endpoints. Pionnier en matière de détection proactive, ESET a été désigné pour la 2ème année consécutive, unique Challenger dans le Gartner Magic Quadrant 2019*, « Endpoint Protection » après avoir été évalué sur sa performance et sur la qualité de sa vision dans le domaine de la protection des Endpoints. À ce jour, l’antivirus ESET NOD32 détient le record mondial de récompenses décernées par le laboratoire indépendant Virus Bulletin depuis 1998. La technologie ESET protège aujourd’hui plus d’un milliard d’internautes. *Source : Gartner Inc, Magic Quadrant for Endpoint Protection Platforms, Peter Firstbrook, Lawrence Pingree, Dionisio Zumerle, Prateek Bhajanka, Paul Webber, August 20, 2019.
