Notre rapport cette semaine reflète les nouvelles tendances en matière de logiciels malveillants. Les deux premiers sont des exemples de code malicieux exclusivement destinés à la fraude et au vol de données, les deux suivants ont des fonctionnalités de rootkit.

En exemple du business modèle implémenté et mis en œuvre par les hackers, nous allons détailler le fonctionnement de Nabload.CC. Ce cheval de Troie télécharge un second trojan détecté sous le nom de Banker.CJA sur certains sites web, est capable de le faire passer au travers du firewall de Windows XP. Il peut donc accéder à Internet sans aucune restriction.

Banker.CJA se procure des informations sur l’accès à plusieurs banques en ligne. Il procède en surveillant les utilisateurs de banques en ligne. S’ils entrent leurs codes d’accès, il les empêche d’accéder à la bonne page. A la place il les amène sur une copie du vrai site.

Si les utilisateurs rentrent à nouveau leurs codes d’identification sur cette fausse page en croyant à une simple erreur, Banker.CJA va enregistrer leur nom d’utilisateur et mot de passe. Il envoie ensuite les informations collectées sur certaines URL permettant aux hackers d’accéder aux comptes bancaires en ligne.

Un autre logiciel malveillant dont le but est de faire gagner de l’argent à ses créateurs est Briz.C, un cheval de Troie voleur de mots de passe. Il possède plusieurs composants qui sont téléchargés successivement sur Internet. Ces composants remplissent plusieurs fonctionnalités comme par exemple arrêter le firewall de Windows XP, empêcher l’accès à certains sites internet comme ceux des éditeurs d’antivirus, récupérer les mots de passe de comptes mails, de services bancaires et d’autres services en ligne.

Briz.C ne se diffuse pas seul automatiquement, il a donc besoin des services d’un « attacker » pour être distribué, comme habituellement pour les chevaux de troie. Cette caractéristique est commune aux attaques ciblées, comme le détaille Panda Software dans un livre blanc téléchargeable à l’adresse : www.pandasoftware.com/attacks

Sources et suite de l'article : http://www.vulnerabilite.com/presse/200603...intrusions.html