Certificats de sociétés de technologie taïwanaises volés pour la campagne de logiciel malveillant Plead

Les chercheurs d'ESET ont découvert une nouvelle campagne de logiciels malveillants utilisant des certificats numériques volés.

Nous avons repéré cette campagne de logiciels malveillants lorsque nos systèmes ont marqué plusieurs fichiers suspects. Fait intéressant, les fichiers marqués ont été signés numériquement à l'aide d'un certificat de signature de code de D-Link Corporation valide. Le même certificat avait été utilisé pour signer un logiciel D-Link non malveillant; le certificat a donc probablement été volé.

Après avoir confirmé la nature malveillante du fichier, nous avons avisé D-Link, qui a lancé sa propre enquête sur l'affaire. Par conséquent, le certificat numérique compromis a été révoqué par D-Link le 3 juillet 2018.

Figure 1 - Le certificat de signature de code de D-Link Corporation utilisé pour signer les logiciels malveillants

Le logiciel malveillant

Notre analyse a permis d'identifier deux familles de logiciels malveillants qui utilisaient abusivement le certificat volé : le logiciel malveillant Plead, une porte dérobée télécommandée et un composant de vol de mot de passe. Récemment, le JPCERT a publié une analyse approfondie de la porte dérobée Plead, qui est, selon Trend Micro, utilisée par le groupe de cyberespionnage BlackTech.

Figure 2 : Le certificat de signature de code de Changing Information Technology Inc. utilisé comme signature de logiciels malveillants

En plus des échantillons de Plead signés avec le certificat D-Link, les chercheurs d'ESET ont également identifié des échantillons signés à l'aide d'un certificat appartenant à une société de sécurité taïwanaise nommée Changing Information Technology Inc.

Malgré le fait que le certificat de Changing Information Technology Inc. a été révoqué le 4 juillet 2017, le groupe BlackTech l'utilise toujours pour signer ses outils malveillants.

La capacité de compromettre plusieurs entreprises technologiques taïwanaises et de réutiliser leurs certificats de signature de code lors d'attaques futures montre que ce groupe est hautement qualifié et concentre ses efforts sur cette région.

Les échantillons signés de logiciels malveillants Plead sont fortement obscurcis par le code bidon. Le but du logiciel malveillant est similaire dans tous les échantillons. Il télécharge depuis un serveur distant ou ouvre depuis le disque local un petit blob binaire chiffré. Ce blob binaire contient un shellcode chiffréé, qui télécharge le module final de la porte dérobée Plead.

Figure 3 - Code obscurci du logiciel malveillant Plead

L'outil de vol de mot de passe est utilisé pour collecter les mots de passe enregistrés dans les applications suivantes :

• Google Chrome
• Microsoft Internet Explorer
• Microsoft Outlook
• Mozilla Firefox

Pourquoi voler des certificats numériques?

L'utilisation abusive des certificats numériques est l'une des nombreuses façons dont les cybercriminels tentent de masquer leurs intentions malveillantes. Puisque les certificats volés laissent apparaître les logiciels malveillants comme des applications légitimes, les logiciels malveillants ont plus de chances d'échapper aux mesures de sécurité sans éveiller les soupçons.

Le logiciel malveillant le plus connu ayant utilisé plusieurs certificats numériques volés est probablement le ver Stuxnet, découvert en 2010. Cet infâme logiciel malveillant était à l'origine de la toute première cyberattaque visant les infrastructures critiques. Stuxnet a utilisé des certificats numériques volés à RealTek et un à JMicron, deux sociétés technologiques basées à Taiwan bien connues.

Cependant, la tactique n'est pas exclusive aux incidents très médiatisés comme Stuxnet, comme en témoigne cette découverte récente.

Indicateurs de compromission (IoCs)