Le voleur d'Akira échappe à la détection

Akira, un malware voleur d'informations découvert début 2023, a la capacité de voler des données sensibles telles que les informations de connexion enregistrées, les informations de carte de paiement, les noms d'utilisateur, l'identification du système, les spécificités du matériel, les logiciels installés et les configurations réseau. Après avoir extrait ces données, il les télécharge sur « GoFile », un service de stockage en ligne, et sur les comptes de messagerie Discord contrôlés par l'acteur malveillant. Comme indiqué exclusivement dans Cyber Security News, Akira Stealer utilise un processus d'infection à plusieurs niveaux pour dissimuler son code et échapper à la détection.

L'acteur malveillant propose également des services via Telegram, un serveur C2 et GitHub. De plus, ils affirment que ce malware est « totalement indétectable » (FUD). Leur chaîne Telegram, « Akira », compte actuellement 358 abonnés. En outre, l'acteur malveillant fournit un domaine Malware-as-a-Service à l'adresse « https[:]//akira[.]red/ ».

Akira entre dans un script CMD

À des fins d'analyse, les chercheurs ont obtenu un exemple de fichier nommé "3989X_NORD_VPN_PREMIUM_HITS.txt.cmd". Ce fichier était un script CMD avec du code caché et obscurci. Notamment, comme le prétend l’acteur malveillant, ce fichier passe inaperçu par VirusTotal. Une fois exécuté, il dépose un fichier de commandes caché.bat dans le répertoire actuel, qui est également indétectable. Ce fichier contient un script PowerShell obscurci qui intègre le fichier batch avec le fichier tmp.vbs pour une exécution via le processus csscript.exe.

Concernant le vol d'informations, le malware crée un dossier nommé d'après le PC compromis pour stocker les données volées. Par la suite, il commence le vol d'informations à partir de divers navigateurs Web, notamment Microsoft Edge, Google Chrome, Opera, Mozilla Firefox et 14 autres navigateurs. De plus, le malware est capable de cibler les données financières, englobant les détails de carte de crédit et les identifiants de connexion enregistrés, la collecte de signets et de données d'extension de portefeuille, la capture de captures d'écran, etc.

Comment les logiciels malveillants peuvent-ils échapper à la détection ?

Les logiciels malveillants peuvent utiliser diverses techniques pour échapper à la détection par les logiciels de sécurité et à l'examen minutieux des experts en cybersécurité. Certaines de ces tactiques d’évasion comprennent :

Code polymorphe : les logiciels malveillants peuvent utiliser du code polymorphe pour modifier leur apparence à chaque fois qu'ils infectent un nouveau système. Il est donc difficile pour les logiciels antivirus basés sur les signatures de les identifier et de les bloquer, car le code du logiciel malveillant change constamment.
Code métamorphique : Semblable au code polymorphe, le code métamorphique se réécrit complètement à chaque infection, ce qui le rend encore plus difficile à détecter.
Techniques de rootkit : les logiciels malveillants peuvent utiliser des techniques de rootkit pour masquer leur présence sur un système. Les rootkits manipulent le système d'exploitation pour dissimuler les fichiers, processus et entrées de registre des logiciels malveillants.
Chiffrement et codage : les logiciels malveillants peuvent chiffrer ou coder leur code pour le rendre illisible pour les logiciels de sécurité. Il décrypte ou décode sa charge utile uniquement une fois qu'elle est en sécurité à l'intérieur du système cible, ce qui la rend difficile à détecter avant l'exécution.
Chargement furtif : les logiciels malveillants peuvent utiliser des techniques pour se charger en mémoire sans écrire sur le disque, ce qui les rend moins susceptibles d'être détectés par les analyses de sécurité basées sur les fichiers.
Liens dynamiques : certains logiciels malveillants utilisent des liens dynamiques, ce qui signifie qu'ils chargent uniquement les bibliothèques nécessaires lors de leur exécution, réduisant ainsi le nombre de fichiers ou de fonctions suspects pouvant être détectés.
Techniques anti-analyse : les logiciels malveillants peuvent détecter lorsqu'ils s'exécutent dans un bac à sable ou un environnement virtuel et se comporter de manière inoffensive dans ces situations, ce qui rend plus difficile pour les chercheurs d'analyser leur comportement.
Obfuscation du code : les auteurs de logiciels malveillants peuvent intentionnellement masquer leur code, ce qui rend difficile pour les analystes de sécurité de comprendre la logique et les fonctionnalités du logiciel malveillant.
Logiciels malveillants sans fichier : certains logiciels malveillants fonctionnent entièrement en mémoire et ne laissent aucune trace sur le système de fichiers, ce qui peut échapper aux méthodes de détection basées sur les signatures.