Pourquoi le groupe cybercriminel Lurk monétise l’exploit kit Angler, son outil le plus puissant ? Bienvenue dans le business des codes malveillants !
Au début de l’été, Kaspersky Lab a participé à l’arrestation de membres du gang Lurk, suspectés d’avoir dérobé plus de 45 millions de dollars, grâce à des codes malveillants, auprès d’un certain nombre d’entreprises et de banques en Russie. Il s’agit du plus grand groupe cybercriminel financier capturé ces dernières années. Cependant, il ne s’agissait pas du seul méfait de Lurk. D’après l’analyse de l’infrastructure informatique qui se cache derrière le malware du même nom, ses auteurs ont développé et louent leur kit d’exploitation de vulnérabilités à d’autres cybercriminels. Le kit Angler est un jeu de programmes malveillants capable d’exploiter les failles de sécurité de logiciels répandus afin d’installer en toute discrétion des malwares supplémentaires sur les PC.
Angler : un outil puissant pour la propagation de tous types de malwares
Le kit d’exploitation Angler est, depuis plusieurs années, l’un des outils les plus puissants disponibles sous le manteau pour les pirates. La dernière fois que l’on a entendu parler d’Angler remonte à la fin de 2013, lorsque le kit a été proposé en location. Plusieurs groupes cybercriminels s’en sont servi pour propager différents types de malwares : adwares, malwares bancaires, ou ransomwares. Ce kit d’exploitation a été utilisé activement par le groupe à l’origine de CryptXXX, l’un des ransomwares les plus virulents et dangereux sur Internet, de TeslaCrypt et d’autres menaces. Angler a également été utilisé pour la propagation du cheval de Troie bancaire Neverquest, conçu pour attaquer près d’une centaine de banques différentes. Les activités d’Angler se sont interrompues juste après l’arrestation du groupe Lurk.
Les services de banques en lignes principalement visés par des codes malveillants
Comme l’a montré l’étude réalisée par les experts en sécurité, le kit Angler a été créé à l’origine dans un unique but : fournir au groupe Lurk un moyen de diffusion fiable et efficace, lui permettant de cibler les PC à l’aide de son malware bancaire. Etant un groupe très fermé, Lurk s’est efforcé de conserver la maîtrise de son infrastructure cruciale au lieu d’en sous-traiter certaines parties à l’instar d’autres groupes. Cependant, en 2013, la situation a changé et la bande a ouvert l’accès à son kit pour tous ceux disposés à payer.
Nous supposons que la décision de Lurk d’ouvrir l’accès à Angler a été en partie motivée par une nécessité financière. A l’époque où le groupe a mis Angler en location, la rentabilité de sa principale activité – le cybervol d’entreprises – était en baisse sous l’effet d’une série de mesures de sécurité mises en place par les développeurs de logiciels de banque à distance, ce qui a rendu la tâche beaucoup plus difficile pour ces pirates. Or, à cette même époque, Lurk devait entretenir à ses frais une infrastructure réseau et un “personnel” considérables. Le groupe a donc décidé d’élargir ses activités et y est parvenu dans une certaine mesure. Tandis que le cheval de Troie bancaire Lurk menaçait exclusivement des entreprises russes, Angler a été employé dans des attaques visant des utilisateurs du monde entier. Son développement et son support – n’était que l’une des facettes de l’activité de Lurk. En l’espace de plus de cinq ans, le groupe est passé de la création de malware très puissant pour le vol automatisé de fonds avec des logiciels de banque à distance, à des stratagèmes évolués impliquant des fraudes à base d’échange de carte SIM et des spécialistes du piratage de l’infrastructure interne des banques.
