Le 2 novembre 2011

Les pirates ont été très actifs pendant le mois d’octobre, multipliant les attaques de phishing et profitant au maximum de la popularité des réseaux sociaux. Les utilisateurs du réseau Vkontakte ont été menacés de nombreuses fois ainsi que des clients d’hébergeurs web russes. Parmi les autres événements, il faut noter l’apparition d’un nouveau backdoor permettant de gérer à distance la machine infectée.

Vkontakte encore attaqué

De plus en plus de schémas sont élaborés par les pirates pour attaquer le réseau social Vkontakte. Parmi ceux-ci : l’envoi de messages de la part de personnes se trouvant dans la liste d’amis.

En suivant le lien envoyé, l'utilisateur se retrouve d’abord sur un service appartenant à Twitter servant à raccourcir les hyperliens, puis il est redirigé vers une application intégrée au réseau social Vkontakte. L’utilisateur ne reçoit aucune notification sur sa redirection vers une autre page.

L’application créée par les pirates alerte l’utilisateur sur l’existence d’une vidéo où il apparaît. De plus, il peut lire des commentaires soi-disant écrits par les personnes de sa liste d’amis, comme « Wow » , « C’est incroyable! » et d'autres, créés par le programme.

En suivant le lien pour regarder la vidéo, l'utilisateur doit entrer son nom d'utilisateur et son mot de passe Vkontakte. En communiquant ses données, l'utilisateur perd son compte, soit que les pirates en changent le mot de passe, soit que le réseau social bloque l’utilisateur pour spam. Le site des pirates prétend que la vidéo provient de Youtube.

D’autre part, après avoir entré ses codes d'accès à Vkontakte, l'utilisateur est invité à entrer son numéro de téléphone puis le code reçu par sms pour visionner la vidéo. Le code confirmera en fait l'acceptation des conditions d'un abonnement payant et l'utilisateur sera régulièrement prélevé d’une certaine somme sur son compte mobile.

Un autre schéma: l'utilisateur voit une soi-disant nouvelle option sur son compte lui permettant de savoir qui a regardé sa page Vkontakte : Mes hôtes.

En cliquant sur cette option, l’utilisateur est invité à entrer son numéro de téléphone, sur lequel il reçoit ensuite plusieurs messages : le premier lui proposant d’envoyer le code affiché à l’écran pour pouvoir continuer la procédure pour utiliser l’option, le second avec une question : Voulez-vous recevoir le mot de passe ?, et enfin un troisième en cas de réponse positive à la seconde question : Acceptez-vous les conditions du site ? Si, là encore, il répond par l’affirmative, il reçoit un autre code qu’il faut entrer sur l’ordinateur et qui est censé activer l’option. Le paiement sera débité régulièrement sur son compte mobile et l’utilisateur pourra soi-disant voir les personnes qui ont visité sa page:

L’administration du site Vkontakte n’a rien avoir avec cette fonctionnalité car en réalité, elle n’existe pas.

Les spécialistes de Doctor Web ont découvert que cette fonction apparaît après l’installation du programme makl.info permettant de télécharger des vidéos et des fichiers audio depuis le réseau social, mais cette fonction « Mes hôtes » est factice car elle ne permet pas de voir réellement qui a visité sa page.

Attaques ciblant les clients d’hébergeurs web

Un certain nombre d'hébergeurs web ont été attaqués, notamment Peterhost, SpaceWeb et FirstVDS, et plus tard Timeweb et Agava. Grâce au service WHOIS, les pirates obtenaient les informations sur leurs clients et leurs adresses électroniques. Ensuite, les pirates envoyaient des messages aux clients en se faisant passer pour les hébergeurs. Les clients de SpaceWeb et FirstVDS ont notamment reçu des messages les informant que leur site consommait plus de ressources que le volume prévu dans leur contrat. Le message contenait un lien vers le site de l’hébergeur, en réalité un faux site, où il fallait entrer les données d’accès à son compte d’utilisateur.

Le fait que les pirates obtiennent les codes d’accès est très dangereux car ils peuvent modifier le contenu du site et diffuser des programmes malveillants ou du contenu illégal.

Le BackDoor.Bitsex permet de gérer le PC à distance

Ce programme est écrit en langue C et est enregistré sur le disque sous le nom d’une bibliothèque SetupEngine.dll. Suite à son lancement, le BackDoor.Bitsex crée deux fichiers dans un dossier : Audiozombi.exe et SetupEngine.dll. Il lance le premier qui ensuite lance la bibliothèque SetupEngine.dll, puis le BackDoor.Bitsex décode le nom du serveur connecté au PC et établit une connexion avec lui. Le trojan vérifie si un antivirus n’est pas lancé dans le système en analysant la liste des processus lancés, puis envoie ensuite un rapport à un serveur distant et lance un keylogger sur le PC, qui enregistre tout dans un fichier spécifique.

Le BackDoor.Bitsex possède une large gamme de fonctionnalités, il permet aux malfaiteurs de consulter à distance le contenu des disques du PC infecté , de recevoir des captures d’écran et des photos de la web cam, d’ouvrir des pages web, de télécharger et de lancer des applications, d’afficher des notifications sur l'écran du PC, de lancer des attaques DDoS sur les serveurs - en tout plus d’une dizaines de fonctionnalités dangereuses.

Les autres menaces d’octobre

En octobre, un nouveau programme d'hameçonnage bloquant le MBR a été découvert par les spécialistes de Doctor Web, le Trojan.MBRlock.16, dont la caractéristique consiste à faire croire à l’utilisateur que les données de son PC ont été codées.

Lorsque le Trojan.MBRlock.16 est lancé sur le PC infecté et bloqué, il affiche une notification du soi-disant Antivirus XP Hard Disk Repair, disant que le système est infecté par le Trojan.Agent.ARVP, qui a codé toutes les données sur les disques durs (aucun codage n’est effectué en réalité). Pour sauver ses données et débloquer son PC, l’utilisateur est invité à "acheter une licence" pour recevoir une clé, en remplissant un formulaire sur le site des pirates et en effectuant un paiement en ligne. La clé unique et le mot de passe pour débloquer le PC sont générés par le Trojan.MBRlock.16 en fonction de la configuration matérielle du PC.

Pour débloquer les PC victimes d’hameçonnage, veuillez utiliser un générateur de mots de passe spécial, élaboré par les spécialistes de Doctor Web ftp://ftp.drweb.com/pub/drweb/tools/mbrlock16keygen.exe ou bénéficier du service de déblocage.

Un autre trojan détecté en octobre, le Trojan.SkynetRef.1, est un serveur proxy http servant à remplacer les pages dans le navigateur. Pour assurer une propagation efficace de leur « bébé », les pirates ont crée une série de pages web, comme fvsn.org, operadownload.info, downloadutorrent.info, downloadflashplayer.biz et d’autres.

Pour télécharger une application depuis ces sites, l’internaute doit utiliser un installateur dont le nom est associé à l’application en question. Si l’internaute sauvegarde cet installateur sur son PC et modifie son nom, alors il cesse de fonctionner. Si le nom n’a pas été modifié, le programme télécharge non seulement l’application choisie mais également le Trojan.SkynetRef.1. Ce trojan remplace les sites dans les navigateurs de l’utilisateur.

Fichiers malveillants détectés dans le courrier électronique en octobre 2011

Total analysés: 118,243,404
Total virus détectés: 253,032 (0.21%)

Fichiers malveillants détectés sur les PC des utilisateurs en octobre

Total analysés: 17,451,623,339,426,039
Total virus détectés: 177,541,621 (0.00%)