Ce stealer, un logiciel malveillant destiné à dérober des infos, a rapidement été adopté par des collectifs de pirates. Le malware passe par diverses chaînes d’infections : des faux sites ou des vidéos sur les réseaux sociaux.

Le nom est poétique, l’activité beaucoup moins. Aurora — comme l’aurore — est un nouveau logiciel malveillant particulièrement surveillé par les experts. Alors que le marché des stealers — ces chevaux de Troie qui subtilisent des informations — est dominé par deux malwares à succès, Redline et Racoon, ce troisième acteur est apparu silencieusement. Il a rapidement trouvé sa place dans le milieu des hackers criminels. Les chercheurs en cyber de Sekoia se sont penchés sur cet outil, le 21 novembre 2022, lancé en avril dernier sur des forums russophones.

D’abord présenté comme un botnet polyvalent — pour perturber, attaquer des sites — ce logiciel malveillant a disparu, puis est revenu en août comme service de vol d’informations. Les premières publications précisaient (en russe) que le groupe ne travaillait pas pour Moscou.

Une fiche produit accompagne le lancement, avec la promesse d’une attaque discrète, d’une collecte de mot de passe et d’un ciblage de plus de 40 marques de portefeuilles de crypto-monnaies. Aurora est disponible pour environ 250 dollars par mois, ou 1 500 dollars pour une utilisation sans limite. Tout comme le marché légal du numérique, celui des logiciels malveillants fonctionne aussi par abonnement aujourd’hui et de nombreux « produits » sont proposés pour des prix abordables sur le darknet ou les forums.

La fiche produit d'Aurora sur un forum fréquenté par les cybercriminels. // Source : Sekoia
La fiche produit ventant les mérites d’Aurora publiée sur un forum fréquenté par les cybercriminels. // Source : Sekoia

Plusieurs chaînes d’infections par ce stealer

Le stealer a vite été adopté par neuf groupes de pirates, essentiellement russophones, liste Sekoia. Entre octobre et novembre, plusieurs centaines d’échantillons de données ont pu être analysées par les chercheurs, confirmant la popularité du logiciel. Le rapport a également noté que les malfaiteurs ont distribué l’outil à travers diverses chaînes d’infections : celles-ci vont des sites de phishing classiques aux vidéos YouTube avec des liens intégrés en description. Les collectifs de hackers criminels font appel à des « traffers », des spécialistes du référencement pour faire monter un contenu frauduleux sur les plateformes vidéo. Lorsqu’ils le peuvent, les malfaiteurs vont directement s’attaquer à une chaine YouTube pour lancer une nouvelle arnaque.

Une annonce d'embauche pour une équipe de « Traffer » russe. Le groupe propose de travailleur sur Racoon et Aurora. // Source : Sekoia
Une annonce d’embauche pour une équipe de « Traffer » russe. Le groupe propose de travailleur sur Racoon et Aurora. // Source : Sekoia

Aurora fonctionne de manière « classique » pour un stealer : une fois téléchargé, le malware fouille les dossiers d’un navigateur jusqu’à tomber sur des fichiers qu’il reconnait, comme un gestionnaire de mot de passe, par exemple, pour l’extraire et l’envoyer sur un serveur externe. Les malfaiteurs chercheront ensuite à revendre les données dérobées ou se connecter à divers comptes pouvant leur rapporter de l’argent : e-commerce, crypto-monnaies. Des canaux de vente d’informations servent de place de marché en libre accès sur Telegram.

Bien qu’il soit efficace et très simple d’enregistrer tous les mots de passes sur son navigateur, on recommande de noter les codes pour les comptes les plus importants — adresse mail, banque, réseaux sociaux. Les gestionnaires de mot de passe peuvent faire office de coffres-forts pour vos codes d’accès. Une fois le stealer installé, le hacker fera tout pour que vous ne retrouviez pas votre compte. Avec ces types de malware, voler l’identité d’un internaute n’a jamais été aussi facile.


Aidez-nous à construire l’avenir de Numerama en répondant à cette enquête !