Google TAG perturbe le fonctionnement du botnet de Glupteba

Le groupe d'analyse des menaces de Google a annoncé cette semaine la perturbation réussie du célèbre botnet Glupteba. Le botnet installait notoirement des logiciels malveillants de crypto-mining sur les systèmes victimes et se serait propagé à environ 1 million d'hôtes infectés, y compris à la fois des appareils Internet des objets et des ordinateurs Windows.

Selon le rapport TAG de Google, la perturbation entraînera des problèmes considérables et empêchera les opérateurs de Glupteba d'accéder à l'infrastructure critique de commandement et de contrôle, mettant ainsi le botnet hors de leur portée. Cependant, l'équipe de recherche en sécurité de Google a également déclaré qu'il était prévu que les opérateurs de Glupteba aient également un moyen de restaurer et de recourir à l'infrastructure C2 secondaire en utilisant les données conservées dans la blockchain Bitcoin.

Qu'est-ce que Glupteba ?

Glupteba était connu pour utiliser des vecteurs d'attaque variés pour infecter les systèmes cibles. Ces méthodes d'attaque allaient de l'utilisation de documents malveillants à la dissimulation dans des « fissures » pour les logiciels et applications piratés. Le malware Glupteba a également pu miner discrètement la crypto-monnaie sur le système de la victime via son module dédié, ainsi qu'exfiltrer les identifiants de connexion et les fichiers des disques de la victime, ce qui en fait une formidable boîte à outils malveillante.

La découverte d'une URL de référentiel git unique dans le code d'un binaire Glupteba qui était en cours de rétro-ingénierie et d'examen a mis les chercheurs sur la piste qui a conduit à la perturbation éventuelle du botnet.

Démolition de botnet dans un balayage massif

Une fois avertie par l'URL, l'équipe de recherche a finalement réussi à fermer une gamme de services en ligne appartenant aux opérateurs de Glupteba. Les services en question ont été utilisés pour vendre des identifiants volés ainsi que des informations de carte de crédit volées. Les méthodes de paiement détournées ont également été utilisées à des fins malveillantes, des acteurs malveillants payant illégalement des campagnes publicitaires malveillantes ou effectuant des paiements frauduleux sur Google Ads. Au cours du balayage visant à supprimer l'infrastructure C2 du botnet, l'équipe de Google a collaboré avec CloudFlare pour supprimer les serveurs et placer des messages d'avertissement qui se chargent avant qu'un système ne puisse accéder à un domaine malveillant. De plus, près de 900 comptes Google Ads ont été fermés, ainsi que plus de 900 projets cloud et plus de 1 300 comptes Google.