Logiciel malveillant Glove Stealer : une nouvelle ère de vol de données avec un déguisement astucieux

L'émergence des logiciels malveillants voleurs de gants

Glove Stealer est un autre ajout au monde des cybermenaces, qui se manifeste par des campagnes de phishing minutieusement conçues et qui capitalisent sur des tactiques d'ingénierie sociale. Ce voleur d'informations basé sur .NET opère en trompant les utilisateurs pour qu'ils compromettent sans le savoir leurs propres systèmes. Selon des observations récentes, les e-mails de phishing contenant des pièces jointes contenant des pages HTML malveillantes sont devenus un canal de distribution courant pour Glove Stealer. Ces pièces jointes affichent souvent de faux messages d'erreur conçus pour inciter les utilisateurs à copier et coller des scripts dans leur terminal PowerShell ou dans l'invite d'exécution de Windows, ce qui déclenche le processus d'infection.

Comment un voleur de gants parvient à pénétrer dans le marché

Glove Stealer exploite la confiance des utilisateurs grâce à des tactiques telles que ClickFix , qui induit les utilisateurs en erreur en leur faisant croire qu'ils résolvent des problèmes système. Une fois le script malveillant exécuté, il établit un contact avec un serveur de commande et de contrôle (C&C), signalant ainsi le déploiement réussi sur le système de la victime. Ce processus de communication utilise des chaînes et des marqueurs d'identification uniques générés de manière aléatoire, établissant une connexion qui facilite les instructions ultérieures de l'attaquant.

Ce que le voleur de gants cherche à récolter

L'objectif principal de Glove Stealer est l'exfiltration de données. Il cible un large éventail d'informations sensibles stockées dans les navigateurs, les applications et les extensions de navigateur. Sa portée s'étend aux principaux navigateurs comme Chrome, Firefox, Edge et Brave, entre autres. Le malware met également fin aux processus associés à ces navigateurs selon des cycles rapides, ce qui lui permet d'obtenir un accès exclusif aux données stockées sans interruption.

Outre les données de navigation, Glove Stealer jette un large filet sur d’autres actifs numériques, ciblant les portefeuilles de cryptomonnaies, les authentificateurs 2FA, les outils de gestion des mots de passe et même les clients de messagerie. Le malware examine plus de 80 applications installées et scanne jusqu’à 280 extensions de navigateur pour siphonner des informations précieuses, notamment les cookies, les identifiants de connexion, les données de saisie automatique et les jetons OTP.

Méthodologie de collecte et de stockage des données

Le logiciel malveillant compile systématiquement les données volées dans des fichiers texte organisés stockés dans des structures de répertoires spécifiques. Ces répertoires sont situés dans le chemin d'accès au dossier des documents récents de l'utilisateur et sont préfixés par un hachage MD5 dérivé d'une combinaison du nom de l'ordinateur et du numéro de série du disque.
D'autres types de données, telles que les informations de saisie automatique du navigateur, les identifiants de mot de passe et les données du portefeuille, sont stockées dans des sous-dossiers désignés de manière similaire. Les détails spécifiques à l'appareil, tels que le système d'exploitation, le nom d'utilisateur, les paramètres de langue et les spécifications matérielles, sont également collectés et enregistrés dans un fichier intitulé INFS.txt.

Une technique de pontage sophistiquée

L'une des caractéristiques notables de Glove Stealer est sa capacité à contourner le chiffrement lié aux applications, une mesure de protection présente dans les navigateurs modernes. En utilisant un module qui exploite le service IElevator, Glove Stealer contourne ces mesures de protection de chiffrement. Cette capacité permet aux attaquants d'accéder aux données stockées dans le navigateur qui seraient autrement protégées, marquant ainsi une avancée significative dans la sophistication des menaces de vol d'informations.

Comment se produit l'exfiltration

Après avoir collecté les données, Glove Stealer les crypte à l'aide de l'algorithme 3DES en mode ECB. La clé de cryptage est générée dynamiquement à partir d'une valeur d'horodatage et sécurisée via un hachage MD5. Cela garantit que même si le paquet de données volé est intercepté, seuls ceux qui possèdent la clé correspondante peuvent le décrypter. Le fichier ZIP contenant les données est placé dans le répertoire des documents récents, nommé en utilisant le même hachage MD5 que le préfixe.

La dernière étape de l'attaque consiste à envoyer le paquet chiffré au serveur C&C via une requête POST codée en Base64. La clé de déchiffrement est également envoyée dans le cadre de la charge utile des données pour garantir que les attaquants conservent l'accès à celle-ci.

Conséquences pour les utilisateurs et la communauté numérique au sens large

Même si Glove Stealer semble en être à ses débuts en raison de son obscurcissement minimal, sa capacité à infiltrer et à extraire des données d’une large gamme d’applications laisse entrevoir son potentiel de dégâts considérables. Le ciblage des portefeuilles de cryptomonnaies, des gestionnaires de mots de passe et des outils d’authentification met en évidence une évolution vers des menaces visant à perturber la sécurité financière et personnelle à un niveau plus profond.

Pour les utilisateurs, la présence de Glove Stealer signifie l'importance de la vigilance lors du traitement des communications inattendues. Les tactiques d'ingénierie sociale continuent d'évoluer, intégrant souvent des messages trompeurs qui peuvent sembler routiniers mais qui conduisent à de graves failles de sécurité. Reconnaître les signes de tentatives de phishing, éviter les instructions non sollicitées qui nécessitent l'exécution de scripts et maintenir des pratiques de sécurité à jour sont essentiels pour atténuer ces risques.

Conclusion

Glove Stealer nous rappelle l'adaptabilité des menaces numériques, qui évoluent pour contourner les nouvelles mesures de sécurité et rechercher des cibles de plus en plus variées. Bien que simple dans sa forme actuelle, la portée du malware souligne un potentiel de développement futur qui pourrait amplifier son impact. La sensibilisation, la prudence et des mesures de cybersécurité robustes restent des outils essentiels dans l'effort continu pour protéger les actifs numériques et les données personnelles contre les menaces émergentes.