Proteus, le couteau suisse du logiciel malveillant

Imaginer un malware capable de transformer les ordinateurs en serveur proxy, de miner différentes monnaies virtuelles, d'enregistrer les frappes au clavier et de vérifier la validité des comptes victimes d'un vol de données. Et bien cela existe. Les experts de Fortinet ont déniché ce couteau suisse du logiciel malveillant.

Baptisé Proteus, le malware est écrit en .Net et se diffuse à travers le botnet Andromeda. Les spécialistes de Fortinet constatent que ce malware peut éliminer d'autres logiciels malveillants  sur les PC compromis. Tout comme Andromeda, il communique via un chiffrement symétrique avec des serveurs C&C pour contrôler les actions du malware sur les PC. De plus, il est capable d'ajouter des modules additionnels, les télécharger et les exécuter à la demande. Proteus s'épanouit dans le minage de crypto-monnaies. Il supporte les outils, HA256 miner, CPUMiner et ZCashMiner utilisés pour les monnaies virtuelles comme Bitcoin, Litecoin, Zcash.

Un vérificateur de comptes e-commerce piratés

Pour les spécialistes de la sécurité, la grande spécificité de Proteus réside dans sa capacité à vérifier la validité des comptes volés sur certains sites. Dans les cas présent, le code source du malware a montré que la vérification est réclamée par le serveur de C&C qui fournit des identifiants et des mots de passe. Le PC infecté va donc envoyer une requête sur certains sites de e-commerce comme Amazon, eBay, Spotify, Netflix et plusieurs sites allemands.

« Si le compte est vérifié, la prochaine requête est appelée 3 minutes après, si la réponse est négative, une nouvelle requête est faite 1 minute plus tard », explique l'équipe de chercheurs en sécurité MalwareHunter à nos confrères de Bleeping Computer. Une fois les compte vérifiés, un autre code permet d'extraire les données personnelles (nom, prénom, adresse, code postale, pays, avis, notation, etc). A partir d'un jeu de données disponible sur les forums underground, les cybercriminels peuvent ainsi se construire une base de données qualifiés et plus rentables à revendre (en fonction du pays, du statut, des comptes entreprises, etc) et plus facile à pirater.

A lire aussi :

NoPen, un malware du groupe Equation pour les systèmes Unix

Un nouveau malware téléchargé toutes les 4 secondes

Photo credit: portalgda via VisualHunt / CC BY-NC-SA