Campagne « Astaroth Infostealer »

Samantha Clarke et les chercheurs en cybersécurité de Mimecast ont récemment identifié une campagne de vol d'informations de type Astaroth (référencée en interne sous le nom de MCTO1022). Astaroth est un cheval de Troie sophistiqué destiné au vol d'informations qui mène des opérations actives dans le paysage des menaces depuis 2017, ses activités de développement remontant quant à elles à 2015. Ce malware cible spécifiquement les pays d'Amérique latine, en concentrant ses efforts sur le Brésil et le Mexique, où il enregistre les taux d'infection les plus élevés.

Astaroth utilise un processus d'infection sophistiqué en plusieurs étapes qui commence par un e-mail de Phishing contenant une URL dissimulée hébergée sur secureserver.net. Lorsque vous cliquez sur le lien, une archive ZIP est téléchargée ; celle-ci contient un fichier de raccourci malveillant (.lnk) qui utilise les exécutables cmd.exe et mshta.exe pour exécuter du code JavaScript obfusqué, lequel se connecte ensuite à un serveur de commande et de contrôle (C2) afin d'exfiltrer des données sensibles du système. Ce malware se distingue notamment par ses techniques d'attaque sans fichier, sa capacité à détourner des outils légitimes du système d'exploitation et ses méthodes de contournement sophistiquées qui lui permettent d'échapper aux systèmes de détection de sécurité traditionnels.

Cette menace témoigne d'une planification opérationnelle sophistiquée grâce à son architecture modulaire, qui offre des capacités complètes d'exfiltration de données, notamment les identifiants bancaires, les cookies de session et les informations de connexion enregistrées sur les sites. Plusieurs éditeurs de solutions de sécurité ont documenté l'évolution technique d'Astaroth, notamment Cybereason, qui a analysé des campagnes ciblant le Brésil et le Mexique par le biais d'une infrastructure de serveurs sécurisés. Les campagnes d'Astaroth se déroulent avec une régularité remarquable : elles respectent des calendriers d'activité quotidiens qui excluent les week-ends et atteignent une ampleur considérable grâce à des volumes d'envoi par e-mail allant de 10 000 à 100 000 messages par jour. Les recherches de Microsoft en matière de sécurité ont permis de documenter les premières versions de ces techniques d'attaque invisibles, en soulignant le rythme opérationnel soutenu de la campagne et l'évolution de son infrastructure.