Dridex : 12 ans de prison pour Pavel Gincota & Ion Turcan

[ѠOOT]

A sophisticated malware package designed to steal banking and other credentials from infected computers has been disrupted, and charges have been filed in the Western District of Pennsylvania against a Moldovan administrator of the botnet known as Bugat or Cridex or Dridex. Actions taken by the U.K. and the U.S. substantially disrupted the botnet.

Andrey Ghinkul, aka Andrei Ghincul and Smilex, 30, of Moldova, was charged in a nine-count indictment unsealed today in the Western District of Pennsylvania with criminal conspiracy, unauthorized computer access with intent to defraud, damaging a computer, wire fraud and bank fraud. Ghinkul was arrested on Aug. 28, 2015 in Cyprus. The United States is seeking his extradition.

Department of Justice - Office of Public Affairs
→ http://www.justice.gov/opa/pr/bugat-bot ... e-disabled

Liens connexes:
⭐ https://www.us-cert.gov/dridex
⭐ https://www.us-cert.gov/ncas/alerts/TA15-286A
⭐ https://dridex.shadowserver.org/

Liens internes:
⬝ Spam Dridex : raccourcis piégés (LNK) + VBE
⬝ Campagne Dridex - documents Microsoft Word & Excel piégés
⬝ Deux hommes en relation avec Dridex et Citadel interpelés

Éléments du dossier:
⬔ Ghinkul Indictment
⬔ Ghinkul Complaint
⬔ Government's Motion for Leave to File Under Seal
⬔ Memorandum of Law in Support of Motion For Temporary Restraining Order
⬔ Motion for Temporary Restraining Order
⬔ Order to File Under Seal
⬔ Temporary Restraining Order
⬔ Special Agent Stevens Affidavit in Support of Temporary Restraining Order

[Malekal_morte]

C'est ça de venir en vacances dépenser ses sous en Europe

Le botnet n'a pas été décapité, il est toujours actif.

[Malekal_morte]

Malgré l'arrestation de cybercriminels impliqués dans la création du malware Dridex ( lire : Deux hommes en relation avec Dridex et Citadel interpelés & Botnet Dridex, arrestation du cerveau )

Les campagnes Dridex via des emails malicieux continuent d'arroser la France & l'Europe depuis plusieurs mois ( lire : Les nouvelles campagnes d'emails Word malicieux & le bulletin de CERT-FR )



Zscaler a publié quelques chiffres sur les activités de Dridex, comme d'habitude, l'usage de fichiers signés continue ( lire : Étude IBM: Les malware signés sont en constante augmentation) :

Dridex_repartition.png

Dridex_repartition_2.png

De son côté, Lexsi a publié ses observations sur Dridex & Bruteres. Une vue sur les mécanismes du botnet utilisé pour envoyer massivement des millions de pourriels via seulement une trentaine de serveurs SMTP.

Dridex sur le forum:
=> Campagnes Dridex - documents Microsoft Word & Excel piégés.

[Malekal_morte]

Dridex n'est pas mort, vive Dridex : Les campagnes Dridex continuent

[Malekal_morte]

ESET a fait aussi une entrée sur son blog concernant Dridex

Rien de vraiment nouveau.
Apparemment en Europe, l'Espagne est très touchée.

VBa_Trojan_downloader_dridex.jpg

[Malekal_morte]

Si les campagnes d'emails malicieux du Ransomware Locky ont pris toute la place... Les campagnes Dridex continuent encore. J'ai d'ailleurs ouvert ce billet sur blog : Trojan Dridex – Mail malicieux Macro Office.

[Malekal_morte]

Le blog Trend-Micro renseigne sur les statistiques des campagnes Dridex.

On constate une nette hausse pour le mois de février 2016



Répartition des victimes ( Clients, TPE/PME, Entreprises )

[Malekal_morte]

Les campagnes Dridex like reprennent, avec d'autres stealers utilisés cette fois-ci ( Fareit etc).

Sur cette news, chaque campagne pourrait permettre de voler environ 16k cartes bancaires pour un montant de 800k dollars. ce sont des estimations : http://news.softpedia.com/news/security ... 2678.shtml

Dridex_800k_campagne.png

[Malekal_morte]

Le même groupe pousse aussi le ransomware Locky
> Email Malicieux : Locky.

Voir aussi la page : Trojan Dridex – Mail malicieux Macro Office.

[ѠOOT]

(05 OCTOBER 2016) HUNDREDS OF BANK ACCOUNTS USED TO LAUNDER PROFITS OF CYBER THEFT

Two men responsible for laundering millions of pounds stolen using the malicious software Dridex have been sentenced to a total of 12 years in prison, following a joint investigation by the National Crime Agency (NCA) and Metropolitan Police Service (MPS).

Over a two year period, Pavel Gincota, 32, and Ion Turcan, 35, both Moldovan nationals with Romanian Citizenship, funded a luxury lifestyle by laundering over £2.5 million criminal profits through more than 220 bank accounts.

The money had been stolen using Dridex, a malicious software (malware) sent via email attachment which, when opened, allows criminals to remotely access the victim's device and record their bank details.

Gincota and Turcan were under investigation by the NCA when they were arrested by MPS officers in February 2015, for being in possession of multiple false identity documents. In a search of their home in Yiewsley, West Drayton, officers seized further fraudulent documents and several electronic devices. Forensic examination of the devices by the NCA National Cyber Crime Unit confirmed that a laptop belonging to Gincota had been used to control the bank accounts through which the money was laundered. The pair were charged with conspiracy to possess false identification and conspiracy to launder money and were remanded in custody. Gincota was also charged with a separate money laundering offence in relation to a cyber fraud in Germany in 2012, in which the victim lost 25,000 Euros. Both Gincota and Turcan pleaded guilty to all the charges against them and were sentenced yesterday at the Old Bailey to five years and eight months, and seven years respectively.

Steve Brown, Senior Investigating Officer at the NCA National Cyber Crime Unit said:

- "Pavel Gincota and Ion Turcan were serial money launderers who processed millions of pounds worth of stolen money through hundreds of bank accounts to fund their lifestyles.

- "Those involved in the most serious types of organised crime depend on the services provided by money launderers like Gincota and Turcan to hide their criminal profits.

- "The NCA will continue to work closely with our partners to prevent organised criminals from accessing the proceeds of their crimes and to bring them to justice."

Liens connexes:
http://www.nationalcrimeagency.gov.uk/n ... yber-theft

[ѠOOT]

Du 14 au 20 novembre 2016, 5 individus ont été interpellés en France à la suite d'une enquête menée par l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC).

Ces arrestations font suite à une vaste opération de lutte contre le blanchiment d'argent, diligentée par EUROPOL & EUROJUST. En tout, 178 individus interpellés. Plus de 500 mules identifiées ainsi que 1 300 victimes. Le préjudice est estimé à ~23 millions d'euros, dont 7 millions d'euros en France.

Les victimes recevaient des courriels piégés contenant des pièces-jointes malveillantes. Une fois Windows infecté, Dridex, un code malveillant spécialisé dans les vols d'identifiants et de données bancaires s'occupaient de récupérer les données confidentielles et secrètes (identifiants, mots de passe, etc.).

L'enquête est toujours en cours.

Liens connexes:
→ ( 18 Juin 2015 ) http://forum.malekal.com/campagne-dride ... 52049.html

→ ( 08 Sep 2015 ) http://forum.malekal.com/arrestations-d ... 52815.html

→ ( 15 Oct 2015 http://forum.malekal.com/doj-fbi-dhs-ec ... 53225.html

→ ( 07 Oct 2016 ) http://forum.malekal.com/arrestations-c ... 56114.html

Liens externes:
► http://www.leparisien.fr/faits-divers/p ... 369999.php

[Malekal_morte]

Les campagnes d'emails malveillant du Trojan Dridex perdurent.
Même schéma que celles du ransomware Jaff

Une pièce jointe avec un PDF qui propose d'ouvrir un fichier Word.
Ce dernier contient une macro...

Email-malveillant-Trojan-Dridex.png

Email-malveillant-Trojan-Dridex-3.png

si elle est exécutée, le trojan se lance sur Windows.

Email-malveillant-Trojan-Dridex-2.png

Exemple de détection du Trojan.Dridex :

Code : Tout sélectionner

Votre fichier est en cours d'analyse.
SHA256:	d247ce290b6bcdc4db8fb8db1fa89251eb57073739d56b382e2acb4cb1f3ad71
Nom du fichier :	bgty.exe

Antivirus	Résultat	Mise à jour
Ad-Aware	Trojan.GenericKD.5243117	20170603
AegisLab	Uds.Dangerousobject.Multi!c	20170603
Arcabit	Trojan.Generic.D5000ED	20170603
Avast	Win32:Malware-gen	20170603
AVG	MSIL11.BFKZ	20170603
Avira (no cloud)	TR/Dropper.Gen	20170603
Baidu	Win32.Trojan.WisdomEyes.16070401.9500.9996	20170601
BitDefender	Trojan.GenericKD.5243117	20170603
CrowdStrike Falcon (ML)	malicious_confidence_100% (D)	20170420
Cyren	W32/Trojan.OSDT-6989	20170603
DrWeb	Trojan.DownLoader24.63384	20170603
Emsisoft	Trojan.GenericKD.5243117 (B)	20170603
Endgame	malicious (high confidence)	20170515
ESET-NOD32	a variant of MSIL/Agent.AQL	20170603
F-Secure	Trojan.GenericKD.5243117	20170603
Fortinet	MSIL/Agent.AQL!tr	20170603
GData	Win32.Trojan.Agent.C93V1S	20170603
Ikarus	Trojan.MSIL.Bladabindi	20170603
Invincea	backdoor.msil.bladabindi.aj	20170519
K7AntiVirus	Trojan ( 005019551 )	20170603
K7GW	Trojan ( 005019551 )	20170603
Kaspersky	Trojan.MSIL.Revenge.abt	20170603
McAfee	RDN/Generic.bfr	20170603
McAfee-GW-Edition	BehavesLike.Win32.Backdoor.ch	20170603
eScan	Trojan.GenericKD.5243117	20170603
Palo Alto Networks (Known Signatures)	generic.ml	20170603
Qihoo-360	Win32/Trojan.97a	20170603
SentinelOne (Static ML)	static engine - malicious	20170516
Sophos	Troj/MSIL-JVA	20170603
Symantec	Trojan.Gen.2	20170603
Tencent	Win32.Trojan.Raasj.Auto	20170603
TrendMicro-HouseCall	TROJ_FORUCON.BMC	20170603
Webroot	W32.Trojan.Gen	20170603
ZoneAlarm by Check Point	Trojan.MSIL.Revenge.abt	20170603