Les hackers noirs sont à l’affut de la moindre application qu’ils peuvent transformer en vecteur d’attaque, et si cette application est d’un usage très répandu c’est encore mieux. Les chercheurs d’Eset ont découvert que le groupe de cyberespionnage Turla utilise l’interface web de Gmail pour recevoir des commandes et exfiltrer des données. En fait, c’est une nouvelle itération de la Backdoor ComRAT, l’une des plus anciennes familles de malwares opérées par le groupe Turla, également appelé Snake, un groupe de cyberespionnage actif depuis plus de dix ans.
ComRat, appelé Agent.BTZ aussi, est une Backdoor qui est devenue célèbre après avoir été utilisée dans une faille de sécurité qui a touchée l’armée américaine en 2008. La première version de ce malware, probablement lancée en 2007, était un ver qui se propageait via des disques amovibles. Connu pour ses méfaits, ComRAT s’est attaqué à au moins trois institutions gouvernementales depuis 2017 pour y dérober des documents sensibles.
Eset a découvert que cette dernière version de ComRAT était toujours utilisée au début de l’année 2020, « ce qui montre que le groupe Turla est toujours très actif et constitue une menace majeure pour les diplomates et les militaires », affirme Eset. L’une des principales utilisations de ComRAT est le vol de documents confidentiels. Lors d’une campagne spécifique, ses opérateurs ont même déployé un exécutable .NET pour interagir avec le serveur de base de données MS SQL d’une victime, contenant les documents de son organisation. Les opérateurs du malware ont utilisé des services de Cloud public tels que OneDrive et 4shared pour exfiltrer des données. La dernière version de la Backdoor de Turla est en mesure d’effectuer de nombreuses autres actions sur les ordinateurs compromis, notamment lancer des programmes et exfiltrer des fichiers.
ComRAT fait montre d’une grande sophistication pour échapper à la détection. « Grâce à l’utilisation de l’interface web de Gmail, la dernière version de ComRAT est capable de contourner certains contrôles de sécurité, car elle n’utilise aucun domaine malveillant, » explique Matthieu Faou, chercheur en malwares chez Eset et qui a enquêté sur le groupe pendant plusieurs années.
