Qbot : le malware qui fait sauter la banque

Nom : Qbot. Nature : cheval de Troie. Signe particulier : a infecté au moins un demi-million de PC, occasionnant la fuite de données liées à plus de 800 000 transactions bancaires en ligne.

Ce malware a fait l’objet d’une étude approfondie de la part des équipes de Proofpoint. L’entreprise américaine spécialisée dans la sécurité informatique l’a découvert en menant des travaux sur une cyber-attaque d’envergure visant les systèmes d’information de grandes institutions financières en Europe et aux Etats-Unis.

Associé à une infrastructure complexe de serveurs et à plusieurs logiciels malveillants, Qbot (aussi appelé Quakbot) est l’œuvre d’un groupe de pirates vraisemblablement localisé en Russie. Il s’est propagé via des sites Web tous basés sur le CMS WordPress et dont les malfaiteurs avaient pris le contrôle grâce à des listes d’identifiants et mots de passe – essentiellement FTP – achetés sur des places de marché dédiées. Après quoi il leur restait à insérer, sur certaines pages, un script appelant ledit Qbot, hébergé sur un serveur tiers.

Il semble que toutes les injections, de type dynamique, aient été réalisées manuellement, sans outils particuliers qui auraient pu accélérer la détection de vulnérabilités. Les pirates ont aussi exploité les newsletters envoyées par certains des sites dont ils avaient pris le contrôle. Dans tous les cas, leur exploit s’appuie sur une faiblesse dans certains navigateurs Web, qu’elles soient présentes nativement ou via des plugins.

L’attaque est gérée par un système de distribution de trafic (TDS) qui « filtre » les victimes : les pages malveillantes ne sont présentées qu’à certaines machines selon des critères allant de l’adresse IP au système d’exploitation en passant par la langue du navigateur. Certains postes clients sont exclus d’office ; en premier lieu, ceux détectés comme appartenant… à des chercheurs en sécurité.

Visiter le site infecté suffit à déclencher, en arrière-plan, le téléchargement de Qbot. Une fois installé, le trojan se connecte à un serveur de commande et de contrôle (C&C). Il est alors à la disposition des pirates, qui peuvent prendre le contrôle de la machine à distance. Lors des transactions bancaires, le malware intercepte le trafic HTTP sécurisé au moment où il est déchiffré dans le navigateur.

En se référant aux logs, Proofpoint a constaté que les pirates utilisaient le service Scan4U pour vérifier que leurs attaques passaient bien inaperçues auprès des principales solutions antivirus du marché. Dans le cas contraire, ils recevaient automatiquement un message par ICQ. Au final, ils ont atteint les cinq plus grandes banques américaines en passant, dans 82 % des cas, par internet Explorer. Sur le front des systèmes d’exploitation, 52% des PC touchés étaient sous Windows XP, qui ne bénéficie plus d’aucun correctif de sécurité depuis avril 2014.

Le réseau de botnets (ordinateurs « zombies ») créé avec Qbot a aussi été monnayé à d’autres groupes de pirates sous la forme d’un service de proxy leur permettant de se constituer un « cloud privé » pour transférer des données sensibles. D’après Proofpoint, le butin moyen pourrait s’élever à 25 000 dollars par compte bancaire. L’éditeur recommande aux utilisateurs finaux de maintenir à jour leur système et leurs applications critiques (Java, Adobe Flash et Reader, les navigateurs Web) ; et aux banques de systématiser la double authentification pour compliquer la tâche des pirates.

—— A voir aussi ——
Quiz ITespresso.fr : maîtrisez-vous vos informations personnelles sur Internet ?

Crédit photo : wk1003mike – Shutterstock.com