Un logiciel malveillant étrange empêche les victimes d'accéder aux sites de logiciels piratés
Les chercheurs en sécurité de Sophos ont récemment suivi et documenté l'une des campagnes de malware les plus inhabituelles depuis très longtemps. Ce nouveau malware étrange n'essaie pas d'extraire toutes vos informations de connexion de votre navigateur, ni de brouiller vos fichiers et de demander une rançon en bitcoins. Tout ce que fait le nouveau malware, c'est d'empêcher le système de la victime d'accéder aux sites Web de piratage de logiciels.
Il y a une dizaine d'années, Sophos s'est à nouveau heurté à des logiciels malveillants aux fonctionnalités "presque identiques". Le nouveau malware est assez humble dans ses propres capacités, mais aussi efficace dans sa simplicité.
Même s'il n'a pas de mécanismes de persistance, le malware modifie le fichier Windows HOSTS qui contient une carte du système local qui peut diriger les noms de domaine vers des adresses IP spécifiques. Le malware insère de cent à mille domaines associés aux sites Web de piratage et les remappe tous pour pointer vers 127.0.0.1 - le loclahost. Cela empêche efficacement l'utilisateur d'accéder à ces domaines à partir d'un navigateur.
Il n'y a pas de fonctionnalité supplémentaire qui permet au malware de rajouter ces entrées de fichier HOSTS et si un utilisateur découvre ce qui se passe et modifie le fichier manuellement, l'accès sera restauré jusqu'à ce qu'il réexécute le malware.
Les méthodes de distribution décrites dans la recherche incluent les serveurs Discord qui contiennent de prétendues copies piratées de logiciels et de jeux. De plus, les sites Web torrent couramment utilisés pour redistribuer des logiciels piratés avaient également la même charge utile de logiciels malveillants, regroupés dans des fichiers torrent nommés d'après des téléchargements très populaires et des médias très recherchés.
Une fois que le logiciel malveillant a déployé et modifié le fichier HOSTS, il tente également une connexion sortante vers un domaine nommé 1flchier dor com. Si la connexion réussit, une charge utile supplémentaire est obtenue. La charge utile est généralement appelée ProcessHacker.jpg et est en réalité un fichier exécutable qui effectue un certain nombre d'étapes supplémentaires pour empêcher le système victime d'exécuter et d'accéder à des logiciels piratés.
Le nettoyage manuel des systèmes qui ont été affectés par le malware est relativement facile. Ouvrir le fichier HOSTS dans un éditeur de texte brut et supprimer toutes les lignes qui redirigent divers domaines vers 127.0.0.1 et le localhost suffit pour clarifier les choses.
Il n'y a aucune preuve claire que ce nouveau malware soit lié à une grande famille établie. Tout ce que Sophos a réussi à détecter, c'est que le malware bloquant le piratage a été créé à l'aide du même packer utilisé dans la famille de malware Qbot. Les deux ne sont cependant pas liés d'une autre manière significative.
