Publié le 24 octobre 2023 10:15:00. Un groupe de pirates informatiques lié aux services de renseignement russes a mis au point de nouveaux outils de logiciels malveillants pour remplacer un programme compromis, intensifiant ses activités d’espionnage en ligne contre des cibles en Europe de l’Est et aux États-Unis.
- Le groupe, connu sous le nom de Coldriver (également suivi sous les noms de Star Blizzard, Callisto et UNC4057), a développé trois nouvelles souches de logiciels malveillants : NOROBOT, YESROBOT et MAYBEROBOT.
- Ces nouveaux outils sont conçus pour contourner les systèmes de détection et voler des informations sensibles.
- Google, qui a publié une étude sur ces activités, souligne que Coldriver pourrait cibler des victimes déjà compromises par des techniques de phishing pour extraire davantage de données.
Selon une nouvelle étude de Google, le groupe de piratage Coldriver, soupçonné d’être soutenu par le gouvernement russe, a rapidement réagi à la divulgation d’un de ses outils, le logiciel malveillant LostKeys, en mai dernier. Dans les cinq jours suivant cette révélation, les pirates informatiques ont commencé à déployer de nouveaux logiciels malveillants, et ce, de manière plus agressive que lors de leurs précédentes campagnes.
Depuis, Google n’a plus détecté d’utilisation de LostKeys, mais a identifié les nouveaux outils NOROBOT, YESROBOT et MAYBEROBOT. L’attaque commence généralement avec NOROBOT, diffusé via une fausse page CAPTCHA – une technique de leurre déjà employée dans les opérations LostKeys. Une fois installé, NOROBOT déploie YESROBOT, une porte dérobée qui est ensuite remplacée par une version plus sophistiquée, MAYBEROBOT.
Les chercheurs de Google ont observé que Coldriver continue d’affiner NOROBOT, tandis que MAYBEROBOT reste stable, ce qui suggère que le groupe se concentre sur la dissimulation de ses méthodes d’intrusion dans les réseaux, tout en s’appuyant sur une porte dérobée fiable pour éviter la détection à long terme.
La raison pour laquelle Coldriver privilégie le développement de logiciels malveillants personnalisés plutôt que les techniques de phishing d’informations d’identification, qu’il utilise depuis longtemps, reste incertaine. Google avance l’hypothèse que le groupe cherche à infecter des cibles déjà compromises par phishing, afin d’extraire des informations supplémentaires directement de leurs appareils.
« Alors que Coldriver continue de développer et de déployer cette chaîne, nous pensons qu’ils maintiendront des opérations agressives contre des cibles de grande valeur pour répondre à leurs besoins en matière de collecte de renseignements. »
Chercheurs de Google
Actif depuis au moins 2022, Coldriver est soupçonné d’opérer sous la direction des services de renseignement russes. Le groupe est connu pour cibler les organisations de défense des droits de l’homme, les médias indépendants et les groupes de la société civile en Europe de l’Est et aux États-Unis. Il vole généralement les identifiants pour accéder aux e-mails et autres données de ses victimes, mais a également utilisé des logiciels malveillants tels que Spica pour cibler des individus spécifiques et accéder à des documents stockés sur des systèmes compromis.
Pour en savoir plus, consultez le rapport de Google et l’article de The Record.