Logiciel malveillant Arcane Stealer : un aperçu de cette menace insidieuse

Une souche de malware appelée Arcane Stealer cible les utilisateurs peu méfiants via des vidéos YouTube faisant la promotion de triches. Ce malware de vol, jusqu'alors non répertorié, a attiré l'attention des chercheurs en sécurité en raison du volume considérable d'informations qu'il collecte et des techniques sophistiquées qu'il emploie.

Qu'est-ce qu'Arcane Stealer ?

Arcane Stealer est un malware voleur d'informations conçu pour exfiltrer un large éventail de données utilisateur, notamment les identifiants de connexion, les cookies, les informations de carte bancaire et les détails de configuration système. Contrairement aux malwares plus courants qui ciblent une catégorie d'informations spécifique, Arcane cible plusieurs applications, ce qui en fait un problème majeur pour les utilisateurs de jeux, de messagerie et de services réseau.

Comment Arcane Stealer se propage-t-il ?

La principale méthode de distribution d'Arcane Stealer consiste à diffuser des vidéos YouTube vantant des astuces de jeu. Les utilisateurs sont incités à télécharger une archive protégée par mot de passe à partir d'un lien fourni dans la description de la vidéo. Une fois extraite, l'archive contient un fichier batch (start.bat), qui déclenche une chaîne d'actions menant à l'exécution du malware.

Ce processus consiste à utiliser PowerShell pour télécharger une autre archive contenant deux fichiers exécutables. L'un est un mineur de cryptomonnaie, tandis que l'autre est Arcane Stealer lui-même. De plus, le script batch désactive les protections Windows SmartScreen, permettant au malware d'agir sans être détecté. Au fil du temps, les cybercriminels ont adapté cette stratégie, utilisant auparavant une autre variante de malware voleur appelée VGS avant de passer à Arcane fin 2024.

Quelle est la cible d'Arcane Stealer ?

Arcane Stealer a une portée exceptionnellement large, ciblant une variété d'applications, notamment :

• Clients VPN : OpenVPN, Mullvad, NordVPN, IPVanish, Surfshark, ProtonVPN, hidemy.name, PIA, CyberGhost, ExpressVPN.
• Utilitaires réseau : ngrok, Playit, Cyberduck, FileZilla, DynDNS.
• Applications de messagerie : ICQ, Tox, Skype, Pidgin, Signal, Element, Discord, Telegram, Jabber, Viber.
• Clients de messagerie : Microsoft Outlook.
• Plateformes de jeu : Riot Client, Epic Games, Steam, Ubisoft Connect, Roblox, Battle.net et divers clients Minecraft.
• Portefeuilles de crypto-monnaie : Zcash, Armory, Bytecoin, Jaxx, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

Au-delà de la collecte d'informations d'identification et de données sensibles, Arcane Stealer prend des captures d'écran des systèmes infectés, enregistre les processus en cours d'exécution et extrait les informations d'identification du réseau Wi-Fi enregistrées.

Comment Arcane Stealer vole-t-il des informations ?

Les navigateurs modernes utilisent des techniques de chiffrement pour sécuriser les données sensibles telles que les mots de passe enregistrés et les cookies. Arcane Stealer exploite l'API de protection des données Windows (DPAPI) pour récupérer ces clés de chiffrement. Cependant, Arcane se distingue par l'utilisation d'un utilitaire intégré appelé Xaitax, qui déchiffre les clés de chiffrement des navigateurs, permettant ainsi au logiciel malveillant d'accéder aux identifiants stockés.

De plus, le logiciel malveillant utilise une fonctionnalité de débogage pour extraire les cookies des navigateurs basés sur Chromium en lançant une copie du navigateur via un port de débogage. Cela permet aux attaquants d'accéder en permanence aux sessions utilisateur, contournant potentiellement les protections de l'authentification multifacteur (MFA) .

Qui est ciblé ?

Bien que la campagne semble principalement cibler les utilisateurs russophones, notamment ceux de Russie, de Biélorussie et du Kazakhstan, rien ne garantit qu'Arcane Stealer restera confiné à ces régions. La capacité d'adaptation des cybercriminels implique que les méthodes de distribution et les cibles démographiques peuvent évoluer au fil du temps.

Conséquences du voleur d'arcanes

Les implications de ce logiciel malveillant sont considérables. En volant les identifiants de comptes de jeu, de plateformes de messagerie et de portefeuilles de cryptomonnaies, les attaquants peuvent se livrer à des usurpations d'identité, des fraudes et des transactions non autorisées. De plus, les identifiants VPN compromis peuvent être utilisés pour accéder aux réseaux d'entreprise, augmentant ainsi le risque de nouvelles cyberattaques.

De plus, la présence d’un mineur de cryptomonnaie aux côtés du voleur indique que les attaquants sont également intéressés à tirer profit des systèmes infectés en utilisant leurs ressources informatiques.

Évolution du paysage des menaces

Les cybercriminels affinent constamment leurs tactiques pour échapper à la détection et maximiser leurs chances de succès. L'introduction d'ArcanaLoader, un chargeur déguisé en téléchargeur de codes de triche, illustre cette adaptabilité. Au lieu de fournir des codes de triche aux utilisateurs, il installe furtivement Arcane Stealer, démontrant ainsi comment les attaquants exploitent la confiance des utilisateurs pour diffuser efficacement des logiciels malveillants.

Comment se protéger contre le voleur d'arcanes

Étant donné la sophistication d'Arcane Stealer, il est indispensable d'adopter les meilleures pratiques pour minimiser le risque d'infection :

1. Évitez de télécharger des fichiers provenant de sources non vérifiées : méfiez-vous des vidéos YouTube et des sites Web qui font la promotion de triches de jeux ou d’autres logiciels gratuits.
2. Maintenez les fonctionnalités de sécurité activées : Windows SmartScreen et d’autres fonctionnalités de sécurité sont conçus pour bloquer les téléchargements malveillants. Leur désactivation rend les systèmes vulnérables.
3. Utilisez l’authentification multifacteur (MFA) : même si les informations d’identification sont volées, l’authentification multifacteur peut fournir une couche de sécurité supplémentaire contre les accès non autorisés.
4. Mettre à jour régulièrement les logiciels : maintenir les systèmes d’exploitation, les navigateurs et les outils de sécurité à jour peut contribuer à la protection contre les vulnérabilités connues.
5. Surveiller l'activité du compte : des vérifications fréquentes des comptes de jeu, de messagerie et financiers peuvent aider à détecter rapidement toute activité suspecte.
6. Utilisez un logiciel antivirus réputé : les solutions de sécurité avancées peuvent identifier et arrêter les logiciels malveillants avant qu'ils ne puissent s'exécuter.

Réflexions finales

Arcane Stealer met en lumière l'évolution constante des cybercriminels, qui utilisent des tactiques trompeuses pour cibler des utilisateurs peu méfiants. Ses vastes capacités de collecte de données en font une menace importante, notamment pour les acteurs du jeu, des cryptomonnaies et des communications en ligne. En restant informés et en adoptant des mesures de sécurité proactives, les utilisateurs peuvent réduire les risques liés à ces menaces.