Le malware bancaire Ramnit se réveille en Europe

Ramnit refait parler de lui. Tristement célèbre cheval de Troie, dont le code source repose en grande partie sur Zeus, ce malware créé au début des années 2010 a plusieurs millions de postes de travail infectés à son tableau de chasse. Ciblant à l'origine les entreprises du secteur bancaire, Ramnit s'était depuis diversifié en touchant également les entreprises des secteurs de l'industrie, de la distribution ou encore du e-commerce et des réseaux sociaux (Facebook, Twitter, YouTube...). Si l'actualité des malwares s'était recentrée ces dernières années sur les ransomwares - et dernièrement sur le cryptominage - cela n'empêche pas aujourd'hui le célèbre trojan de revenir sur le devant de la scène.

F5 Labs et F5 Security Operations Center ont analysé les configurations de codes malveillants pour les logiciels de banque de Ramnit actives en février et mars 2019. Ils ont découvert que les auteurs de Ramnit ciblaient une nouvelle fois largement les sites web de services financiers, en particulier en Italie. « Les banques italiennes ont constitué une grande partie des cibles de cette configuration. La France et le Royaume-Uni (en particulier les banques basées en Écosse) ont également été des cibles prisées », ont expliqué dans un billet les chercheurs en sécurité Remi Cohen et Roy Moshailov. 

Des attaques par injection de code malveillant

Ramnit permet des attaques par injection de code malveillant pour permettre à un attaquant de voler des informations d'identification ou des informations personnelles de compte, permettant ainsi le vol de fonds. Par ailleurs, plusieurs mots en français, italien et anglais sont inscrits dans le code de Ramnit : « C'est une innovation que nous n'avons pas vue dans les configurations précédentes de Ramnit. Il semble que les auteurs de Ramnit agissent sur un spectre plus large dans l’espoir de contaminer aléatoirement des sites web », précisent le rapport.

D'après les chercheurs, 70% des cibles de Ramnit sont localisées en Europe. Au sein des différents pays touchés, l'Italie arrive en tête des pays visés par les attaques de ce trojan (près de 50%), devant les Etats-Unis (environ 30%) ainsi que la France et la Grande-Bretagne (plus de 10% chacun). En plus des mots cibles simples, Ramnit inclut également le nom d'un opéra italien et quelques noms de domaine mal orthographiés. Les cibles hors domaine de cette configuration incluent: !*-sys.com* !*ocsp.* *control* !*ads.* !*office* *corp* !*analytic* !*outlook* *Customer* !*api.* !*stream* *Dashboard* !*bam.nr-data.net* !*track* *identity* !*chat* !*trouter.io* *importo* !*cloud* !*update* *login* !*download* !*upload* *Main* !*events* !*video* *manager* !*game* !http://* *panel* !*gigaup13b.allegati.tim.it* *access* *payment* !*gstatic.* *account* *register* !*hub* *admin* *secure* !*iltrovatore.it* *Authenticate* *sepa* !*iolam.it* *authentipec* *sign* !*lampoilbro* *bank* *trade* !*messenger* *basic* *virement* !*metric* et *bonifico*.

Amazon, Google et Twitter parmi les sites cibles

Les chercheurs de F5 ont par ailleurs établi une liste de sociétés et sites web ciblées en fonction de cette configuration de mots-clés.

crédit : F5 Labs et F5 Security Operations Center.

« Les auteurs de programmes malveillants les plus sophistiqués d’aujourd’hui échappent à la détection et démontrent leur connaissance des cibles en utilisant de nouvelles techniques pour contourner les mécanismes de défense de la cible. Nous constatons cette tendance dans presque tous les éléments de code issus de logiciels malveillants bancaires », analysent les chercheurs de F5 Labs et F5 Security Operations Center.