Des messages professionnels avec le cheval de Troie QBot

Les cybercriminels distribuent le cheval de Troie QBot par message professionnel

Début avril, les experts de Kaspersky ont découvert une campagne d’envoi de masse de messages avec un fichier PDF malveillant en pièce jointe. Les cybercriminels s’en prennent aux entreprises : un document dangereux est joint au message professionnel (que nous avons vu rédigé en anglais, allemand, italien et français). Cette campagne cherche à infecter les ordinateurs des victimes avec le programme malveillant QBot, aussi connu comme QakBot, QuackBot ou Pinkslipbot. Curieusement, il y a environ un an, nos experts avaient constaté une hausse soudaine similaire dans le flux d’e-mails qui distribuaient un programme malveillant (dont QBot).

Comment la victime perçoit l’attaque

L’attaque repose sur des techniques de « détournement des conversations ». Les cybercriminels arrivent à accéder aux vrais messages professionnels (QBot vole notamment les e-mails sauvegardés localement sur les ordinateurs que les victimes ont utilisés auparavant) et rejoignent la conversation en envoyant des messages comme s’ils étaient là depuis longtemps. Les messages tentent de convaincre les victimes d’ouvrir le fichier PDF joint en indiquant qu’il s’agit de la liste des frais ou de tout autre document important pour l’entreprise qui exige une réponse rapide.

En réalité, le PDF est l’imitation d’une notification de Microsoft Office 365 ou Microsoft Azure. Cette notification invite la victime à cliquer sur le bouton « Ouvrir ». Si la victime le fait, une archive protégée par un mot de passe est téléchargée sur l’ordinateur (et le mot de passe se trouve dans le texte de la « notification »). Ensuite, le destinataire va certainement décompresser l’archive et exécuter le fichier .wsf (Windows Script File) qui se trouve à l’intérieur. Ce script malveillant télécharge le programme malveillant QBot depuis un serveur à distance. Vous trouverez une description technique plus détaillée de chaque étape de l’attaque ainsi que les indicateurs de compromission sur le site Securelist.

Source