Pour gérer vos consentements :

Dridex : un botnet bancaire coriace qui vise la France

On ne donnait plus très cher de sa peau après un raid concerté du FBI et des autorités britanniques. Mais Dridex sévit toujours.

Ce botnet aurait déjà permis de subtiliser pour plusieurs dizaines de millions d’euros sur des comptes bancaires, essentiellement au Royaume-Uni. Il était considéré comme démantelé après l’arrestation, fin août, de son créateur supposé, puis la coupure, à la mi-octobre, des connexions au serveur de commande principal.

Une version mise en doute par Invincea, qui affirme avoir détecté pas moins de 60 instances de Dridex ciblant des utilisateurs… en France.

La société américaine spécialisée dans la protection des points d’accès a constaté que le malware envoyé par le biais de ce botnet est signé avec un certificat émis par la société de sécurité Comodo. « Ce qui signifie que les technologies qui font confiance aux exécutables signés échoueront à stopper l’attaque ».

La menace est confirmée par le CERT-FR. L’organisme rattaché à l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a émis une alerte le 23 octobre dernier. Il dit avoir repéré « à l’échelle nationale, une vague de pourriels [de type Dridex] dont le taux de blocage par les passerelles [antispam] est relativement faible ».

Les courriels en question sont généralement écrits dans un français sans faute. Ils renferment des documents Office présentés comme des factures émanant de magasins, d’hôtels ou d’autres organismes comme la DGA et la fourrière de Grenoble.

L’ouverture de ces documents déclenche l’exécution d’une macro VBScript ou Visual Basic employée pour assembler le malware PIDARAS.exe. Selon la technique dite du « just-in-time », la souche infectieuse est construite directement sur le poste de la cible afin d’échapper aux défenses basées sur le monitoring de réseau ou les bacs à sable.

Selon le CERT-FR, les téléchargements s’effectuent via le port HTTP « non standard 8080 », une caractéristique qui « permet de détecter, pour cette variante, les postes ayant exécuté la macro ».

Une fois le malware en place, il communique avec des serveurs basés au Japon, via le port 473. Si Dridex est susceptible d’échapper à la vigilance de certains antivirus, une désactivation de la fonction d’exécution automatique des macros Office permet de lui couper les ailes, comme le note Silicon.fr.

Crédit photo : lolloj – Shutterstock.com

Recent Posts

Cybersécurité : attention aux QR codes dans les PDF

Les attaques de phishing utilisant des QR codes frauduleux intégrés dans des documents PDF joints…

2 semaines ago

Windows 11 : une mise à jour majeure apporte de nouvelles fonctionnalités

Microsoft a amorcé le déploiement de Windows 11 24H2. Passage en revue des nouvelles fonctionnalités…

2 mois ago

Microsoft 365 : comment Copilot se déploie dans toutes les applications

L'intégration de Copilot dans la suite bureautique s'accélère. Où trouver l'assistant IA et comment l'utiliser…

2 mois ago

PC Copilot + : Microsoft veut garder Recall

Microsoft annonce une phase expérimentale pour lancer Recall sur les PC Copilot+. Elle doit commencer…

3 mois ago

Windows 11 : comment Microsoft va réduire la taille des mises à jour

Comment réduire la taille des mises à jour de Windows 11 ? Microsoft annonce la…

4 mois ago

Windows 11 : comment Bloc-notes va remplacer WordPad

Déjà doté de la sauvegarde automatique, d'un compteur de caractères et de Copilot, Bloc-notes embarque…

4 mois ago