NightClub Malware lié à MoustachedBouncer Threat Actor

Le malware connu sous le nom de NightClub possède des capacités de spyware et de vol de données. Ce programme malveillant existe en au moins quatre versions, la première variante remontant à 2014.

Le malware NightClub est employé par un acteur malveillant nommé MoustachedBouncer. Ce groupe est actif depuis près de dix ans et cible principalement les ambassades étrangères en Biélorussie. Les cibles notables incluent les ambassades de quatre pays : deux en Europe et une en Afrique et une en Asie du Sud. En plus de NightClub, cet acteur menaçant utilise également un autre ensemble d'outils appelé Disco.

La version originale de NightClub se concentre sur deux fonctions principales : la surveillance des fichiers et l'extraction des données. Ce logiciel malveillant envoie du contenu volé à son serveur de commande et de contrôle (C&C) par e-mail. Les itérations précédentes se limitaient au téléchargement de fichiers de formats tels que Microsoft Word (.doc, .docx), Microsoft Excel (.xls, .xlsx) et PDF (.pdf).

Cependant, les versions publiées depuis 2016 possèdent la capacité de récupérer des modules malveillants supplémentaires à partir de leur serveur C&C. Alors qu'en théorie, les logiciels malveillants capables d'infiltrer du contenu supplémentaire dans les appareils infectés pourraient entraîner diverses formes d'infection, en pratique, ces logiciels ont tendance à fonctionner avec certaines contraintes.

Les attaques NightClub lancées depuis 2020 introduisent un module de porte dérobée, ainsi que des modules pour l'enregistrement de frappe (capture de données saisies), la prise de captures d'écran et l'enregistrement audio via des microphones intégrés ou attachés.

Le module de porte dérobée a la capacité d'exécuter diverses commandes, y compris (mais sans s'y limiter) : créer des processus, copier et déplacer des répertoires, et lire, déplacer et effacer des fichiers.

Il est important de noter que les développeurs de logiciels malveillants améliorent souvent leurs logiciels et leurs méthodologies au fil du temps. De plus, les activités de NightClub sont liées à des attaques politiques et géopolitiques. Ces facteurs suggèrent que les campagnes NightClub à venir pourraient introduire des fonctionnalités et des caractéristiques différentes ou supplémentaires.

Comment les infostealers sont-ils généralement distribués en ligne ?

Les voleurs d'informations, également appelés voleurs d'informations ou voleurs de données, sont un type de malware conçu pour infiltrer l'appareil d'une victime, collecter des informations sensibles et les envoyer à des acteurs malveillants. Ces souches de logiciels malveillants visent à collecter des données précieuses telles que les identifiants de connexion, les informations financières, les détails personnels, etc. Les infostealers peuvent être distribués par diverses méthodes en ligne :

Pièces jointes malveillantes : les voleurs d'informations se propagent souvent par le biais d'e-mails de phishing contenant des pièces jointes infectées. Ces pièces jointes peuvent être déguisées en documents (par exemple, PDF, fichiers Word), feuilles de calcul ou fichiers exécutables. Une fois que la victime ouvre la pièce jointe, le logiciel malveillant est exécuté et l'appareil est compromis.

Liens malveillants dans les e-mails : les e-mails de phishing peuvent également inclure des liens vers des sites Web malveillants. Cliquer sur ces liens peut entraîner des téléchargements intempestifs, où le logiciel malveillant est automatiquement téléchargé et exécuté à l'insu de l'utilisateur.

Publicité malveillante : les voleurs d'informations peuvent être diffusés par le biais de publicités malveillantes (malvertising) affichées sur des sites Web légitimes. Ces publicités peuvent conduire les utilisateurs vers des sites Web qui hébergent des kits d'exploitation capables de diffuser le logiciel malveillant sur des appareils vulnérables.

Sites Web compromis ou faux : les cybercriminels peuvent créer de faux sites Web ou compromettre des sites Web légitimes pour héberger des logiciels malveillants. Les utilisateurs qui visitent ces sites pourraient sans le savoir télécharger et installer des infostealers.

Logiciels gratuits et logiciels piratés : les cybercriminels peuvent regrouper des voleurs d'informations avec des logiciels piratés ou piratés. Lorsque les utilisateurs téléchargent et installent ces fichiers, ils installent par inadvertance le logiciel malveillant.

Téléchargements intempestifs : les téléchargements intempestifs se produisent lorsque la visite d'un site Web compromis ou malveillant déclenche le téléchargement et l'installation automatiques du logiciel malveillant sur l'appareil de l'utilisateur.

Réseaux de partage de fichiers malveillants : les voleurs d'informations peuvent être distribués via des réseaux de partage de fichiers, en particulier ceux qui hébergent des logiciels ou du contenu piratés. Les utilisateurs qui téléchargent et exécutent ces fichiers peuvent exécuter le logiciel malveillant sans le savoir.