Le cheval de Troie QBot est distribué par e-mail professionnel

Début avril, les experts de Kaspersky ont découvert une campagne d’envoi de masse de messages avec un fichier PDF malveillant en pièce jointe. Les cybercriminels s’en prennent aux entreprises : un document dangereux est joint au message professionnel (que nous avons vu rédigé en anglais, allemand, italien et français). Cette campagne cherche à infecter les ordinateurs des victimes avec le programme malveillant QBot, aussi connu comme QakBot, QuackBot ou Pinkslipbot. Curieusement, il y a environ un an, nos experts avaient constaté une hausse soudaine similaire dans le flux d’e-mails qui distribuaient un programme malveillant (dont QBot).

Comment la victime perçoit l’attaque

L’attaque repose sur des techniques de « détournement des conversations ». Les cybercriminels arrivent à accéder aux vrais messages professionnels (QBot vole notamment les e-mails sauvegardés localement sur les ordinateurs que les victimes ont utilisés auparavant) et rejoignent la conversation en envoyant des messages comme s’ils étaient là depuis longtemps. Les messages tentent de convaincre les victimes d’ouvrir le fichier PDF joint en indiquant qu’il s’agit de la liste des frais ou de tout autre document important pour l’entreprise qui exige une réponse rapide.

En réalité, le PDF est l’imitation d’une notification de Microsoft Office 365 ou Microsoft Azure. Cette notification invite la victime à cliquer sur le bouton « Ouvrir ». Si la victime le fait, une archive protégée par un mot de passe est téléchargée sur l’ordinateur (et le mot de passe se trouve dans le texte de la « notification »). Ensuite, le destinataire va certainement décompresser l’archive et exécuter le fichier .wsf (Windows Script File) qui se trouve à l’intérieur. Ce script malveillant télécharge le programme malveillant QBot depuis un serveur à distance. Vous trouverez une description technique plus détaillée de chaque étape de l’attaque ainsi que les indicateurs de compromission sur le site Securelist.

Quelles peuvent être les conséquences d’une infection par QBot ?

Nos experts classent QBot comme un cheval de Troie bancaire. Il permet aux cybercriminels de miner les identifiants (nom d’utilisateur et mot de passe) et les cookies des navigateurs, de voler les messages, d’espionner les activités bancaires et d’enregistrer les frappes de touches. Il peut aussi installer un autre programme malveillant, comme un rançongiciel par exemple.

Comment vous protéger ?

Pour protéger votre entreprise contre les cybercriminels, nous vous conseillons d’installer une solution de cybersécurité fiable sur tous les dispositifs d’entreprise connectés à Internet. Il est aussi pratique d’équiper la passerelle de messagerie d’un produit capable de filtrer les spams et les e-mails malveillants ou d'hameçonnage. Enfin, pour donner à vos employés les moyens d’identifier eux-mêmes les astuces des cybercriminels, il convient d’organiser régulièrement des formations sur les menaces informatiques modernes.