Le 23 mars 2018

Doctor Web alerte sur la propagation d'un Trojan qui vole des fichiers et des données confidentielles. La fuite de ce type de données peut donner aux pirates accès aux comptes de leurs victimes dans les réseaux sociaux et autres service en ligne.

Le programme malveillant qui a reçu le nom Trojan.PWS.Stealer.23012 est écrit en langage Python et infecte les ordinateurs fonctionnant sous Microsoft Windows. La propagation de ce Trojan a commencé vers le 11 mars 2018 et continue jusqu'à maintenant. Les malfaiteurs publient des liens vers un programme malveillant dans des commentaires sur des vidéos sur YouTube. Beaucoup de ces vidéos sont dédiées à l’utilisation de méthodes frauduleuses (dites " cheat ") pouvant aider à gagner dans des jeux vidéos en utilisant des applications spécialisées. Les cybercriminels tentent de faire passer leur Trojan pour ce type de programme ou pour un utilitaire. Les liens publiés redirigent vers Yandex.Disk. Pour pousser l'utilisateur à cliquer, les pirates laissent des commentaires sur des vidéos avec des faux comptes. Lorsque l'utilisateur clique dessus, il télécharge sur son ordinateur une archive RAR autoextractible contenant le Trojan.

Une fois lancé sur un ordinateur contaminé, le malware récolte les informations suivantes :

• fichiers Cookies des navigateurs Vivaldi, Chrome, Yandex.Browser, Opera, Kometa, Orbitum, Dragon, Amigo, Torch,
• logins/mots de passe stockés via ces mêmes navigateurs,
• capture d'écran.

Il copie également les fichiers du bureau Windows ayant l’extension « .txt », « .pdf », « .jpg », « .png », « .xls », « .doc », « .docx », « sqlite », « db », « sqlite3 », « .bak », « sql », « .xml ».

Toutes les données recueillies sont enregistrées par Trojan.PWS.Stealer.23012 dans le dossier C:/PG148892HQ8. Puis il les emballe dans une archive spam.zip et envoie cette archive avec des informations sur la géolocalisation de la machine contaminée au serveur des pirates.

Les analystes de Doctor Web ont détecté plusieurs échantillons de ce Trojan, dont le Trojan.PWS.Stealer.23198.

Dr.Web Antivirus détecte toutes les modifications de ce malware qui ne représente donc aucun risque pour les utilisateurs Dr.Web.

Plus d'infos sur ce Trojan