ForceCopy Stealer : la menace sournoise qui cible les données des navigateurs Web

Un nouvel outil dans l'arsenal d'un groupe de hackers notoire

Des experts en cybersécurité ont découvert une cybermenace sophistiquée connue sous le nom de forceCopy Stealer, un outil de collecte d'informations déployé dans des attaques ciblées. Ce voleur est lié à Kimsuky , un groupe de pirates informatiques bien connu qui serait affilié aux services de renseignement nord-coréens. Des rapports récents indiquent que Kimsuky a utilisé des techniques de phishing pour distribuer forceCopy Stealer, en se concentrant sur l'obtention de données utilisateur sensibles stockées dans les navigateurs Web.

Comment les attaquants déploient forceCopy Stealer

La méthode de diffusion de forceCopy Stealer repose sur des e-mails trompeurs conçus pour paraître légitimes. Ces e-mails incluent généralement une pièce jointe se faisant passer pour un document Microsoft Office ou PDF, qui est en réalité un fichier de raccourci Windows (LNK). Une fois que le destinataire ouvre le fichier, il active des scripts malveillants via PowerShell ou mshta.exe de Microsoft, deux outils système légitimes souvent exploités à des fins non autorisées.

Après l'exécution de ces scripts, des charges utiles supplémentaires sont récupérées à partir d'une source externe. Les attaquants déploient ensuite d'autres outils en plus de forceCopy Stealer, notamment un cheval de Troie bien connu appelé PEBBLEDASH et une version modifiée d'un utilitaire de bureau à distance open source appelé RDP Wrapper. Ces composants fonctionnent conjointement pour établir un accès à long terme aux systèmes compromis.

La fonction principale de forceCopy Stealer

À la base, forceCopy Stealer est conçu pour extraire des données à partir d'emplacements spécifiques associés aux navigateurs Web. La cible principale semble être les fichiers de configuration du navigateur, qui peuvent contenir des identifiants de connexion stockés. En se concentrant sur ces répertoires, l'outil contourne certaines restrictions de sécurité qui protègent contre les techniques conventionnelles de vol d'identifiants. Étant donné que les navigateurs Web stockent souvent des mots de passe et d'autres informations sensibles pour la commodité de l'utilisateur, un attaquant ayant accès à ces fichiers pourrait potentiellement récupérer les informations de connexion à divers services en ligne.

Conséquences de la forceLes activités du voleur de copies

Le déploiement de forceCopy Stealer soulève des inquiétudes quant aux implications plus larges en matière de cybersécurité. Les données de navigateur volées pourraient être exploitées de plusieurs manières, notamment par un accès non autorisé à des comptes, une fraude à l'identité ou d'autres attaques ciblées. De plus, comme le voleur est utilisé aux côtés d'autres outils malveillants tels que les enregistreurs de frappe et les systèmes de communication basés sur des proxys, les personnes ou les organisations concernées peuvent être confrontées à des risques de sécurité à long terme.

L'un des changements notables dans la tactique de Kimsuky est l'utilisation d'outils tels que RDP Wrapper et les logiciels malveillants proxy, qui permettent aux attaquants de maintenir un accès permanent aux machines compromises. Cela représente une évolution dans leurs méthodes, s'éloignant des portes dérobées utilisées auparavant en faveur d'une approche plus modulaire et adaptative.

Une menace persistante et évolutive

Kimsuky, également connu sous les pseudonymes APT43 et Emerald Sleet, est actif depuis plus de dix ans. Il utilise fréquemment des tactiques d'ingénierie sociale pour contourner les mesures de sécurité. Sa capacité à adapter ses campagnes de phishing et à exploiter des outils légitimes à des fins malveillantes en fait une menace persistante dans le paysage de la cybersécurité.

Des découvertes récentes suggèrent que le groupe continue d'affiner ses méthodes, forceCopy Stealer étant le dernier ajout à son arsenal. L'accent mis sur le vol de données de navigateur souligne un intérêt constant pour les identifiants, potentiellement à des fins d'espionnage ou de gain financier. Cette évolution souligne la nécessité pour les utilisateurs de rester vigilants face aux tentatives de phishing et aux accès non autorisés aux données.

Renforcer les défenses contre le vol de données de navigateur

Compte tenu de l'utilisation croissante du stockage des informations d'identification via un navigateur, il est important de mettre en œuvre des mesures de protection contre les menaces telles que forceCopy Stealer. Les utilisateurs doivent être prudents lorsqu'ils manipulent des pièces jointes aux e-mails, en particulier celles provenant de sources inconnues. Les organisations doivent renforcer les protocoles de sécurité des e-mails et surveiller les activités suspectes qui peuvent indiquer des tentatives d'accès à distance non autorisées.

En comprenant le fonctionnement de forceCopy Stealer et les tactiques employées par des groupes comme Kimsuky, chacun peut prendre des mesures proactives pour protéger ses actifs numériques et réduire le risque de telles cybermenaces.