Attention à ce virus qui se cache dans la calculatrice de Windows
Pc-secours est un professionnel référencé dans la liste des spécialistes du réseau CYBERMALVEILLANCE.GOUV.FR
Nous pouvons vous assister et vous conseiller pour tout ce qui concerne la cybersecurité
Pc-secours peut vous conseiller dans le choix de votre solution Antivirus pour Windows, macOS, Android et iOS.
Le cheval de Troie bancaire Qbot reprend du service dans une nouvelle attaque. Grâce à une technique appelée sideloading, les pirates peuvent infecter les ordinateurs de leurs victimes avec une simple copie de la calculatrice de Windows…
L’un des malwares bancaires les plus répandus utilise désormais la calculatrice pour infecter les ordinateurs qui fonctionnent avec Windows. Baptisé Qbot ou Qakbot, il s’agit d’un cheval de Troie bancaire détecté pour la première fois en 2009, et qui a beaucoup évolué depuis. Il peut notamment enregistrer les frappes au clavier et voler mots de passe et informations bancaires.
L’attaque semble être assez ciblée puisqu’elle utilise le thread hijacking, qui s’appuie sur un compte de messagerie compromis. Il reprend les fils de discussions trouvés dans la boîte de réception et y répond avec le malware en pièce jointe. La victime reçoit donc un e-mail d’un expéditeur connu faisant suite à un échange.
La technique s’appuie sur une série de fichiers imbriquées les uns dans les autres comme des poupées russes. La victime reçoit un e-mail avec une pièce jointe au format HTML (page Web). Une fois ouverte, elle télécharge un dossier compressé (.ZIP), affiche un message d’erreur faisant croire à une erreur d’ouverture d’un fichier PDF et demande d’ouvrir le fichier téléchargé en utilisant un mot de passe. Ce dernier permet d’éviter la détection par l’antivirus qui ne pourra pas en analyser le contenu.
Ce fichier HTML est envoyé par e-mail en pièce jointe pour faire croire à un document, mais télécharge le malware Qbot. © BRoxyLife et Cyble
Une utilisation détournée de la calculatrice
Le dossier compressé contient un fichier ISO qui, une fois ouvert, est monté par le système comme un CD-ROM. Il contient un raccourci (.lnk) dont l’icône a été modifiée pour ressembler à un document PDF ou une page Web. Il contient également trois fichiers cachés : une copie tout à fait ordinaire de la calculatrice (calc.exe) et deux fichiers DLL, WindowsCodecs.dll et un second avec un chiffre aléatoire. Dans l’exemple analysé, il s’agit de 7533.dll.
À partir d’ici, les pirates utilisent une technique appelée sideloading (ou chargement latéral), qui consiste à passer par un programme légitime pour charger des fichiers infectés. Dans ce cas, le malware est contenu dans le fichier 7533.dll. À moins d’avoir activé l’affichage des fichiers cachés, la victime ne voit que le raccourci qui se fait passer pour un document. En l’ouvrant, il lance la copie de calc.exe qui va charger des éléments système, dont WindowsCodecs.dll. Normalement, ce dernier est un fichier légitime dans les dossiers de Windows, mais la calculatrice vérifie d’abord son dossier local, et donc charge en priorité la version modifiée qui a été téléchargée.
Un malware qui peut en cacher un autre
Enfin, le fichier DLL modifié permet d’utiliser la calculatrice pour lancer l’éditeur de registre (regsvr32.exe) afin de charger le dernier fichier (7533.dll) qui contient le malware Qbot. Celui-ci peut alors infecter l’explorateur de fichiers de Windows (explorer.exe) et procéder au vol d’informations. D’ailleurs, Qbot n’est pas uniquement un cheval de Troie bancaire. Au fil des années, ce malware a également reçu une fonction de dropper, c’est-à-dire qu’il peut servir à installer d’autres malwares. Il a notamment déjà été utilisé pour implanter RansomExx, Maze, ProLock, Egregor ou encore Black Basta.
Cette attaque ne fonctionne pas avec la calculatrice de Windows 10 et 11, Microsoft ayant déjà rectifié cette faille. Toutefois, le fichier téléchargé contient la version de la calculatrice de Windows 7 qui permet d’utiliser cette technique pour infecter les versions les plus récentes de Windows. Pour éviter cette attaque, il faut suivre les recommandations habituelles : vérifiez que votre antivirus est à jour, et ne jamais ouvrir une pièce jointe si vous ne savez pas ce que c’est, même si vous connaissez l’expéditeur.
Source : futura-sciences.com
Skimming : quelle est cette arnaque quasi indétectable qui vide votre compte en banque ?
Skimming : quelle est cette arnaque quasi indétectable qui vide votre compte en banque ?Une nouvelle forme de piratage sévit en ligne. On vous explique comment ça marche. Connaissez-vous le skimming ? Si tel n’est pas le cas, vous devriez lire avec attention ce qui...
Windows 10 cherche à tout prix à vous faire utiliser un compte Microsoft
Windows 10 cherche à tout prix à vous faire utiliser un compte MicrosoftAlors que Windows 10 s’apprête à prendre sa retraite en 2025, Microsoft cherche quand même à pousser ses utilisateurs et utilisatrices à utiliser un compte en ligne plutôt qu’un compte local. Afin...
Méfiez-vous de Byakugan, ce malware qui se cache dans un fichier PDF
Méfiez-vous de Byakugan, ce malware qui se cache dans un fichier PDFUne campagne de phishing distribue Byakugan, un malware qui vole des informations sensibles et permet un accès à distance aux appareils Windows infectés. Voici déjà 30 ans qu'Adobe prend toute la...
Arnaques en ligne : voici une liste de 8 000 sites et adresses mail à bannir pour se protéger
Arnaques en ligne : voici une liste de 8 000 sites et adresses mail à bannir pour se protégerLe tsunami des arnaques numériques déferle sur la toile. Phishing, faux sites de vente, placements financiers bidons… Les cybercriminels rivalisent d’ingéniosité pour soutirer...
Windows 11 : la dernière mise à jour de sécurité fait planter les PC
Windows 11 : la dernière mise à jour de sécurité fait planter les PCLa dernière mise à jour de sécurité de Windows 11 semble apporter plus de problèmes qu’elle n’en corrige. En effet, le dernier Patch Tuesday de l’OS de Microsoft serait responsable de nombreux bugs,...
Désinstallez vite ces 5 applications Android, elles risquent de vous ruiner
Désinstallez vite ces 5 applications Android, elles risquent de vous ruiner.Anatsa, le dangereux malware bancaire, est de retour sur le Play Store. Le virus s’est infiltré dans cinq applications Android liées à la lecture de PDF sur mobile. Il cherche à siphonner le...
Skimming : quelle est cette arnaque quasi indétectable qui vide votre compte en banque ?
Skimming : quelle est cette arnaque quasi indétectable qui vide votre compte en banque ?Une nouvelle forme de piratage sévit en ligne. On vous explique comment ça marche. Connaissez-vous le skimming ? Si tel n’est pas le cas, vous devriez lire avec attention ce qui...
