Des pirates enregistrent d’anciens noms de domaines

Des pirates informatiques reprennent la main sur des noms de domaines vieux de 10 ans. Ils servaient à exploiter le code malveillant Andromada.

Un groupe de pirates informatiques, baptisé Turla, soupçonné d’être une équipe liée à la Russie – a réenregistré au moins trois anciens domaines associés au malware Andromeda.

Originalité de cette nouvelle prise en main, les adresses étaient restées sous silence depuis dix ans. Bilan, cette récupération permettrait au groupe de distribuer ses propres outils de reconnaissance et de surveillance. Ils cibleraient avant tout des entreprises ukrainiennes.

La société de cybersécurité américaine Mandiant a déclaré que Turla Team APT, également connue sous le nom d’UNC4210, a pris le contrôle de trois domaines qui faisaient partie de la défunte infrastructure de commande et de contrôle (C2) d’Andromeda pour se reconnecter aux systèmes compromis.

La finalité a été de distribuer un utilitaire de reconnaissance connu sous le nom de Kopiluwak et une porte dérobée connue sous le nom de QuietCanary.

Diffusé par clé USB

Andromeda est un programme malveillant prêt à l’emploi. Il remonte au début des années 2010 (première trace publique 2013) et compromet les systèmes via des clés USB infectées.

Après la compromission, le code malveillant se connecte à une liste de domaines. La plupart avaient été mis hors ligne. Il n’y a aucune relation entre l’équipe Turla et le groupe derrière Andromeda, ce qui rend la cooptation des systèmes infectés précédents assez nouvelle. « Coopter les domaines Andromeda et les utiliser pour fournir des logiciels malveillants aux victimes d’Andromeda est une nouveauté« , explique la société de cybersécurité.

Nous avons vu des pirates réenregistrer des domaines (FBI) ou d’autre groupe (ReVIL, …), mais cela semble être la première fois qu’un groupe réenregistre des domaines liés à la distribution de malware.