Cet article décrit le malware Tuscas, du dropper utilisé à la méthode d'injection, en passant par les « hooks ». Ses « hooks » ne sont pas sans rappeler ceux des malwares bancaires. Cette nouvelle menace fait partie de la catégorie des RAT/Stealers (prise de contrôle à distance et vol de données) datant de février 2014. Nous verrons ensuite les principales fonctionnalités de ce malware.
1. Introduction
Le but du malware Tuscas est de permettre aux attaquants de prendre la main sur les machines infectées et de voler des données. Le vol de données est réalisé via des « hooks » mis en place au niveau de l'API utilisée par les trois principaux navigateurs du marché, soit : Internet Explorer, Firefox et Chrome. La version la plus ancienne identifiée du malware Tuscas date du 26 février 2014.
Ce malware est généralement distribué lors de campagnes de spams contenant des pièces jointes du type : factures, reçus, documents importants, suivi de livraison UPS… Généralement, Tuscas n'est pas directement en pièce jointe, mais téléchargé sur Internet et exécuté par le « downloader » Upatre ou une de ses variantes. Dans notre cas, il télécharge le malware Tuscas chiffré, le déchiffre et l'exécute.
Voici le md5 de l’échantillon utilisé lors de la rédaction de cet article : 01c1e3ab46762ef23eb2ac898ea84c2c.
2. Le dropper
Le...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
