Kaspesky découvre "The Mask" ou "Careto"

[yoz]

http://www.zone-numerique.com/kaspersky ... tions.html

http://www.lesnumeriques.com/careto-spy ... 33189.html

http://www.medias24.com/MEDIAS-IT/9073- ... Maroc.html

http://www.securelist.com/en/downloads/ ... k_v1.0.pdf

Kaspersky Lab a annoncé lundi avoir découvert et neutralisé un logiciel espion d'une envergure jamais vue. Nommé Careto, le spyware espionnait gouvernements, grandes agences et entreprises majeures depuis 2007.

Mask apt

Exploité depuis 2007, Careto appartient à la classe des APT, pour advanced persistent threat, ou menace durable avancée. En d'autres termes, il s'agit d'un espion placé pour opérer sur le long terme, ce qu'il n'a pas manqué de faire, puisqu'il a pu collecter pendant 7 ans toutes les données des utilisateurs touchés. Des cibles qui ignoraient leur "statut" de victime grâce à un système particulièrement affiné, qui n'a été découvert que suite à une manœuvre imprudente des pirates.

En effet, si l'éditeur du célèbre antivirus a repéré Careto, c'est uniquement parce que les hommes derrière ce dernier ont tenté d'exploiter une faille connue dans une ancienne version d'un produit estampillé Kaspersky Lab — faille qui avait toutefois été comblée. Une erreur semble-t-il inhabituelle, car Kaspersky Lab a par la suite découvert un arsenal plus que sophistiqué, avec notamment la possibilité d'exploiter des failles encore inconnues.

En effet, Careto n'est pas un outil pour faire de la quantité, mais plutôt de la qualité. Introduit en général via des méthodes de spear-phishing, c'est-à-dire via des courriels parfaitement personnalisés et soignés, qui redirigeaient les victimes vers des sites malveillants uniquement accessibles par ce biais, le malware se nichait par la suite en toute discrétion au fin fond du système, d'où il pouvait intercepter toutes les données traitées avant de les transférer aux pirates, mais non sans prendre le soin de les dissimuler derrière un double cryptage.

Une menace dissimulée à l'efficacité probablement exemplaire, puisque ce sont tout autant les PC sous Windows que ceux sous Linux ou même les Mac qui pouvaient être infectés. Selon Kaspersky, un transfert de données a même été effectué en 3G, suggérant fortement une adaptation du logiciel aux plateformes mobiles dominantes, iOS et Android. Careto a visiblement été développé pour parvenir à ses fins en toutes circonstances, comme en témoignent les 380 victimes déjà identifiées par Kaspersky.

Carte careto(1)
Les adresses IP espionnées, par pays.

Réparties dans 31 pays, ces victimes reflètent par ailleurs les ambitions de Careto, puisque Kaspersky fait état de victimes de poids, placées au sein de gouvernements, de grandes entreprises du secteur de l'énergie, d'instituts de recherche, d'ambassades et même de groupes activistes. Certains artefacts dans le code, entre autres, laissent par ailleurs à penser que les pirates sont hispanophones, ce qui n'empêche pas que des cibles ont également été identifiées en France, en Allemagne ou aux États-Unis.

Malheureusement, il paraît difficile de trouver la trace des auteurs de ce — il faut bien l'admettre — brillant système d'espionnage. D'une part, Kaspersky Lab a opté pour l'action, en s'en prenant directement à 90 domaines de contrôle du système et en annonçant sa découverte, ce qui a poussé les pirates à effacer toutes traces en moins de quatre heures. Ensuite, l'ampleur et la nature extrêmement ciblée de cette attaque montrent qu'une entité d'envergure, possiblement un gouvernement, se cache derrière Careto.

Dans tous les cas, si Careto tel qu'il opérait depuis 2007 est désormais une menace connue, on peut réellement craindre pour la sécurité des informations les plus sensibles. Si d'un côté, la NSA a involontairement démontré que l'espionnage était hélas monnaie courante, la sophistication de certaines méthodes laisse à penser que d'autres réseaux pourraient très bien être en place — l'héritier de Careto pourrait même être déjà actif, s'emparant comme l'original de toutes sortes de données, des captures d'écran aux touches frappées en passant par le contenu d'un smartphone.
Source: Kaspersky