Whiffy Recon Malware découvre l'emplacement Wi-Fi des machines Windows
La découverte du malware Whiffy Recon a mis en lumière une évolution inquiétante dans le monde de la cybersécurité. Ce malware, diffusé via SmokeLoader, un malware de chargement principalement utilisé pour déposer des charges utiles supplémentaires sur des machines Windows compromises, constitue une menace importante.
Le mode opératoire de Whiffy Recon est unique. Il fonctionne en analysant les points d'accès Wi-Fi à proximité toutes les 60 secondes, en utilisant les données qu'il collecte comme point de référence pour l'API de géolocalisation de Google. Les informations de localisation récupérées à partir de cette API sont ensuite renvoyées aux acteurs malveillants, leur permettant ainsi de localiser précisément l'emplacement du système infecté.
SmokeLoader, comme son nom l'indique, est avant tout un malware de chargement. Sa fonction principale est de faciliter la diffusion d'autres logiciels malveillants sur un hôte. Depuis 2014, il est disponible à la vente pour les acteurs malveillants basés en Russie et est souvent distribué via des e-mails de phishing.
Les opérations complexes de Whiffy Recon
Whiffy Recon est programmé pour rechercher le service WLAN AutoConfig (WLANSVC) sur les systèmes infectés. S'il ne trouve pas ce service, il se termine. Il est important de noter que le scanner ne valide pas si le service est opérationnel ou non.
Pour garantir la persistance, Whiffy Recon ajoute un raccourci vers le dossier de démarrage de Windows. De plus, il s'enregistre auprès d'un serveur de commande et de contrôle (C2) distant en envoyant un « botID » généré aléatoirement dans une requête HTTP POST. En réponse, le serveur envoie un message de réussite et un identifiant unique, qui est ensuite stocké dans un fichier nommé « %APPDATA%\Roaming\wlan\str-12.bin ».
La deuxième phase de l'attaque implique une analyse continue des points d'accès Wi-Fi à l'aide de l'API Windows WLAN. Ces résultats d'analyse sont ensuite transmis à l'API de géolocalisation de Google, permettant la triangulation de l'emplacement du système infecté. Ces informations sont ensuite transmises au serveur C2 sous la forme d'une chaîne JSON.
Comprendre le fonctionnement de Whiffy Recon est crucial pour lutter contre sa menace. Cette section décortique les fonctionnalités du malware, depuis ses mécanismes d'initiation et de persistance jusqu'à ses activités de reconnaissance, offrant un aperçu de ses techniques de localisation des machines Windows via des points d'accès Wi-Fi à proximité et de transmission de ces données à des acteurs malveillants.
