Le logiciel malveillant GoStealer cible l'armée indienne

Un incident de cyberespionnage sophistiqué visant l'armée de l'air indienne a été découvert par des chercheurs en sécurité. La cyberattaque contre l'Indian Air Force implique une variante du célèbre Go Stealer, un logiciel malveillant conçu pour extraire discrètement des informations sensibles.

Le malware, distribué via un fichier ZIP au nom trompeur, intitulé « SU-30_Aircraft_Procurement », exploite les récentes annonces en matière d'approvisionnement en matière de défense, en particulier l'approbation de 12 avions de combat Su-30 MKI par le ministère indien de la Défense en septembre 2023.

Selon les conclusions de Cyble Research et Intelligence Labs, les attaquants exécutent leur plan à travers une série d’étapes méticuleusement orchestrées. Ils utilisent une plate-forme de stockage de fichiers anonyme appelée Oshi pour héberger le fichier ZIP trompeur, le déguisant en documentation cruciale pour la défense. Le lien « hxxps://oshi[.]at/ougg » est probablement diffusé via des courriers indésirables ou d'autres canaux de communication.

La séquence d'infection progresse d'un fichier ZIP à un fichier ISO, suivi d'un fichier .lnk, conduisant finalement au déploiement de la charge utile Go Stealer. Exploitant la tension accrue autour des acquisitions de défense, les attaquants visent à inciter les professionnels de l’armée de l’air indienne à activer involontairement le logiciel malveillant.

GoStealer obtient une mise à niveau

La variante identifiée de Go Stealer, distincte de son homologue GitHub, présente des fonctionnalités avancées qui élèvent son niveau de menace. Codée dans le langage de programmation Go et basée sur un Go Stealer open source de GitHub, cette variante introduit des améliorations, notamment un ciblage étendu du navigateur et une nouvelle méthode d'exfiltration de données via Slack.

Lors de l'exécution, le voleur génère un fichier journal sur le système de la victime, en utilisant des outils GoLang tels que GoReSym pour une analyse approfondie. Le malware est conçu de manière complexe pour extraire les informations de connexion et les cookies de navigateurs Internet spécifiques, notamment Google Chrome, Edge et Brave.

Contrairement aux voleurs d'informations conventionnels, cette variante affiche une sophistication accrue en tirant parti de l'API Slack pour les communications secrètes. Le choix de Slack comme canal de communication s'aligne sur son utilisation généralisée dans les réseaux d'entreprise, permettant aux activités malveillantes de se mélanger de manière transparente au trafic professionnel régulier.

Le Go Stealer identifié, distribué via le fichier ZIP trompeur nommé « SU-30_Aircraft_Procurement », constitue une menace importante pour le personnel de la défense indienne. Le moment de l'attaque, qui coïncide avec l'annonce par le gouvernement indien de l'acquisition d'avions de combat Su-30 MKI, suscite des inquiétudes quant à des attaques ciblées ou à des activités d'espionnage.