Logiciel malveillant TRANSLATEXT : une menace silencieuse de Kimsuky

En cybersécurité, l’émergence de nouvelles menaces constitue un défi constant. L'une de ces menaces récentes est le malware TRANSLATEXT, un outil sophistiqué utilisé par le célèbre groupe de piratage nord-coréen Kimsuky . Voici un aperçu approfondi de TRANSLATEXT, de ses objectifs, de son impact sur les utilisateurs et des moyens de s'en protéger.

Qu’est-ce que le logiciel malveillant TRANSLATEXT ?

TRANSLATEXT est une extension malveillante de Google Chrome conçue pour infiltrer et extraire des informations sensibles des appareils ciblés. Observé pour la première fois début mars 2024, ce malware se fait passer pour un outil inoffensif, ce qui rend difficile pour les utilisateurs de détecter sa véritable nature. Ses capacités étendues incluent la possibilité de collecter des adresses e-mail, des noms d'utilisateur, des mots de passe, des cookies et des captures d'écran du navigateur.

La campagne utilisant TRANSLATEXT a principalement ciblé le monde universitaire sud-coréen, en particulier ceux impliqués dans les affaires politiques nord-coréennes. Cela correspond au modus operandi historique de Kimsuky, un groupe de cyberespionnage nord-coréen actif depuis au moins 2012. Connu pour sa concentration sur la collecte de renseignements et de gains financiers, les activités de Kimsuky sont souvent dirigées contre des entités sud-coréennes.

Que veut le logiciel malveillant TRANSLATEXT ?

L'objectif principal du malware TRANSLATEXT est de faciliter la collecte de renseignements. Les dispositifs d'infiltration permettent à Kimsuky d'effectuer une surveillance et de recueillir des informations précieuses sur le personnel universitaire et gouvernemental. Ces données volées peuvent inclure des informations personnelles sensibles, des informations d’identification et des informations sur les affaires politiques et militaires, qui sont très intéressantes pour les opérations de renseignement nord-coréennes.

Kimsuky a été associé à diverses attaques de cyberespionnage et à motivation financière. Ils font partie du Reconnaissance General Bureau (RGB), une agence de renseignement militaire nord-coréenne, et sont associés à des groupes notoires comme le cluster Lazarus. Leurs activités récentes incluent l'exploitation d'une vulnérabilité connue de Microsoft Office (CVE-2017-11882) pour distribuer des enregistreurs de frappe et d'autres outils d'espionnage.

Que se passe-t-il lorsque les utilisateurs rencontrent un logiciel malveillant TRANSLATEXT ?

Lorsqu'un appareil est infecté par TRANSLATEXT, le malware fonctionne silencieusement en arrière-plan, exfiltrant les données vers un serveur distant. L'infection commence généralement par une archive ZIP contenant un document de traitement de texte Hangul et un fichier exécutable, que les utilisateurs peuvent rencontrer via des tactiques de spear phishing ou d'ingénierie sociale. Une fois l'exécutable lancé, il récupère un script PowerShell depuis un serveur contrôlé par un attaquant. Ce script rassemble des informations sur le système compromis et les télécharge sur un référentiel GitHub, où du code malveillant supplémentaire est téléchargé.

TRANSLATEXT se fait passer pour une extension Google Translate et intègre JavaScript pour contourner les mesures de sécurité de services comme Google, Kakao et Naver. Il capture des captures d'écran du navigateur, siphonne les informations d'identification et les cookies, et récupère les commandes d'une URL Blogger Blogspot pour exécuter d'autres actions malveillantes, telles que la prise de captures d'écran des onglets nouvellement ouverts et la suppression des cookies du navigateur.

Comment protéger les appareils contre les logiciels malveillants TRANSLATEXT

La protection contre TRANSLATEXT et les logiciels malveillants similaires nécessite une approche à plusieurs facettes :

1. Soyez prudent avec les pièces jointes et les liens des e-mails : n'ouvrez pas les pièces jointes et ne cliquez pas sur les liens provenant de sources inconnues ou suspectes. Le spear phishing est une méthode courante de propagation de logiciels malveillants comme TRANSLATEXT.
2. Utilisez des mots de passe forts et uniques : l'utilisation de mots de passe forts et uniques pour différents comptes peut limiter les dégâts si les informations d'identification sont compromises. Pensez à utiliser un gestionnaire de mots de passe pour suivre les mots de passe complexes.
3. Gardez les logiciels à jour : mettez régulièrement à jour votre système d'exploitation, votre navigateur et vos autres logiciels pour corriger les vulnérabilités que les logiciels malveillants pourraient exploiter.
4. Installez un logiciel de sécurité réputé : utilisez un logiciel de sécurité complet pour détecter et bloquer les logiciels malveillants. Assurez-vous qu’il est régulièrement mis à jour pour reconnaître les dernières menaces.
5. Activer l'authentification multifacteur (MFA) : MFA ajoute une autre couche de sécurité en exigeant une forme de vérification supplémentaire, rendant ainsi plus difficile l'accès même si les attaquants ont votre mot de passe.
6. Éduquer et former : La sensibilisation est la clé. Renseignez-vous, ainsi que les autres, sur les tactiques utilisées par les cyber-attaquants, telles que le phishing et l'ingénierie sociale, pour réduire le risque d'être victime de ces stratagèmes.

En restant informés et vigilants, les utilisateurs peuvent se protéger de la menace silencieuse mais importante posée par les logiciels malveillants TRANSLATEXT et d'autres cybermenaces orchestrées par des groupes comme Kimsuky.