Mise au jour d’une partie cachée du programme malicieux qui a révélé au monde le ransomware Koler pour les appareils Android en avril 2014.

Cette partie inclut des ransomware utilisant les navigateurs et un exploit kit. Depuis le 23 juillet, le composant mobile de ce programme a été interrompu, et le serveur de commande et de contrôle a commencé à envoyer des commandes de désinstallation sur les mobiles des victimes. Cependant, le reste des composants sur PC  – incluant l’exploit kit – est toujours actif. Kaspersky Lab continue de surveiller ce malware, qui a été présenté pour la première fois par un chercheur en sécurité appelé Kaffeine.

Les criminels derrière ces attaques ont utilisé une technique inhabituelle pour scanner les systèmes des victimes et développer des ransomware personnalisés en fonction du lieu et du type d’appareil – mobile ou PC. L’infrastructure de redirection est l’étape qui suit, une fois que la victime a visité l’un des 48 sites pornographiques malicieux utilisés par les opérateurs de Koler. L’utilisation d’un réseau pornographique pour ce ransomware n’est pas anodin car les victimes ont souvent honte d’avoir visité ce type de contenu et sont prêtes à payer l’amende provenant de soi-disant ‘autorités’.

Les sites pornographiques en question redirigent es utilisateurs vers un hub central qui utilise Keitaro Traffic Distribution System (TDS) pour les rediriger une nouvelle fois. En fonction d’un certain nombre de critères, la seconde redirection peut déclencher trois scenarii différents :

–          L’installation du ransomware mobile Koler. Dans le cas où l’utilisateur utilise un appareil mobile, il est automatiquement redirigé vers l’application malicieuse. Mais il doit encore confirmer le téléchargement et l’installation de l’application – baptisée animalporn.apk – qui est en réalité le ransomware Koler. L’écran de l’appareil touché est alors bloqué et il est demandé à l’utilisateur de payer entre 100$ et 300$ pour le débloquer. Le malware affiche un message localisé émanant soi-disant de la police, ce qui le rend particulièrement crédible.

–          Redirection vers l’un des sites du navigateur ransomware. Un contrôleur spécial vérifie si (i) l’agent utilisateur émane de l’un des 30 pays touchés, (ii) l’utilisateur est ou non un utilisateur Android, et si (iii) la requête ne contient pas d’agent utilisateur Internet Explorer. Si la réponse est positive pour les trois, l’utilisateur voit apparaitre un écran similaire à celui qui apparait sur les mobiles. Dans ce cas, il n’y a pas d’infection, juste une fenêtre pop-up qui peut être évitée facilement grâce à la combinaison alt+F4.

–          Redirection vers un site web contenant Angler Exploit Kit. Si l’utilisateur navigue à partir d’Internet Explorer, l’infrastructure de redirection l’envoie vers des sites hébergeant Angler Exploit Kit, qui inclut des exploits pour Silverlight, Adobe Flash et Java. Pendant l’analyse, le code exploit était parfaitement fonctionnel. La charge utile (payload) était nulle, mais cela pourrait évoluer dans un futur proche.

Vicente Diaz, chercheur principal en sécurité chez Kaspersky Lab, explique : « L’un des points particulièrement intéressant de cette campagne est l’utilisateur d’un réseau de distribution. De douzaines de sites web générés automatiquement redirigent le trafic vers un hub central utilisant un système de distribution du trafic qui redirige une nouvelle fois les utilisateurs. Selon Kaspersky Lab, cette infrastructure démontre à quel point l’ensemble de la campagne est organisé et dangereux.  Les attaquants peuvent créer rapidement des infrastructures similaires grâce à un fonctionnement automatisé, tout en changeant le payload ou le type de cibles. Ils ont également pensé à la façon de monétiser au mieux l’ensemble en ciblant grand nombre d’appareils. »

Le payload mobile en chiffres
Près de 200 000 visiteurs ont été en contact avec le domaine mobile infecté depuis le début de la campagne. La majorité d’entre eux étaient basés aux US (80% – 146 650), suivi du Royaume-Uni (13 692), l’Australie (6 223), le Canada (5 573), l’Arabie Saoudite (1 975) et l’Allemagne (1 278). Europol et Interpol travaillent actuellement à savoir comment fermer l’infrastructure malveillante.

Conseils aux utilisateurs :
–       Gardez à l’esprit que la police ne diffuse jamais de message électronique demandant de l’argent donc ne payez pas ;
–       N’installez pas les applications que vous trouvez en surfant sur Internet ;
–       Ne visitez pas les sites web auxquels vous ne faites pas confiance ;
–       Utilisez une solution de sécurité fiable.