Windows, Linux : un malware exploitant une faille Java menace les deux OS

Windows et Linux sont menacés par un malware d’un nouveau genre exploitant une faille Java. Concrètement, le maliciel se cache dans une image compilée dans un pack Java. Ce type de fichiers étant rarement scanné par l’antivirus, le malware peut passer à travers les mailles du filet.

Des chercheurs en sécurité ont découvert un nouveau genre de rançongiciel qui se cache dans un fichier écrit en Java afin de rendre plus difficile sa détection par les logiciels antivirus. Ce maliciel a été utilisé lors d’une opération contre une école privée européenne restée anonyme. Les chercheurs en sécurité de BlackBerry ont analysé ce malware et viennent de publier leurs résultats ce jeudi 4 juin.

Les fichiers Java, la planque parfaite

Selon leurs informations, un hacker s’est introduit dans le réseau de l’école à l’aide d’un serveur Bureau à distance connecté à Internet. Il a ensuite déployé une porte dérobée persistante, pour pouvoir facilement accéder au réseau plus tard. Après quelques jours d’inactivité, le pirate a réintégré le réseau par la porte dérobée, a désactivé tous les services antimalware en cours d’exécution, a diffusé le ransomware et fait exploser la charge utile, et a crypté les fichiers de chaque ordinateur.

Le rançongiciel était caché dans une image compilée dans un pack Java. Ce type de fichiers n’est pas scanné par les antivirus. De fait, le malware peut s’exécuter tranquillement une fois sur le réseau. Comme l’expliquent les chercheurs en sécurité de BlackBerry, ces fichiers contiennent tous les composants nécessaires à l’exécution du code (un peu comme une application Java), et ils sont rarement analysés par les logiciels antivirus et peuvent passer inaperçus.

Windows et Linux menacés

Ce ramsomware, baptisé Typhoon par BlackBerry, contient un code qui lui permet de fonctionner sur Windows et Linux. Toujours d’après BlackBerry, les premières versions de Typhoon présentaient une faiblesse : elles utilisaient les mêmes clés de cryptage pour chiffrer l’accès aux fichiers des victimes. De fait, un seul outil de décryptage suffisait à récupérer les données de plusieurs victimes.

Seulement, les opérateurs de Typhoon ont visiblement réglé le problème sur les moutures les plus récentes du ransomware. Sur ces six derniers mois, les chercheurs de BlackBerry ont observé une douzaine d’attaques menées avec Typhoon. Les cibles étaient choisies avec soin, parmi des institutions étatiques, des établissements scolaires, ou des éditeurs de logiciels.