Le vol de données bancaires protégé par certains états

Chaque semaine dans l’œil des experts, retrouvez l’avis personnel d’un professionnel high-tech en poste dans une des sociétés qui font notre actualité.

Depuis bientôt quatre ans, le logiciel malveillant Torpig (alias Sinowal) fait épisodiquement son apparition dans la presse. Très répandu, ce voleur de données bancaires s’introduit dans les ordinateurs accompagné du rootkit StealthMBR (alias Mebroot).

Dans ses premières versions, Torpig interceptait des données sensibles via la technique du API hooking (détournement de fonction API décrite en détail ici par le CERT-IST). Dans ce cas, le malware modifiait quelques instructions de saut afin d’exécuter son propre code avant celui de certaines fonctions légitimes fréquemment utilisées par les applications communiquant sur Internet telles que HttpSendRequestA(). Pour cet exemple, le malware analysait le référant HTTP (HTTP referrer – URL de la précédente page consultée) et, en fonction de celui-ci, provoquait l’affichage d’une fenêtre pop-up contextuelle demandant à l’utilisateur d’entrer les détails de sa carte de crédit. Ceci fait, il redonnait la main à la fonction appelée.

Les nouvelles générations de Torpig cherchent aussi les informations bancaires directement sur le disque et s’attaquent à de nombreuses applications (Microsoft Outlook, Eudora, Mozilla Thunderbird, VanDyke SecureCRT, WinSCP, PuTTY, etc.).

Toutes sortes de données personnelles entrées dans les boîtes de dialogue sont maintenant dérobées à l'aide d'une technique moins suspecte que les fonctions d'interception du début. Une tâche en arrière-plan parcourt le Bureau, à la recherche de fenêtres spécifiques appartenant aux applications financières prises en charge par le cheval de Troie. Les données sensibles sont alors interceptées avant d’être renvoyées à la boîte de dialogue (pour plus de détails, voir le document McAfee : « L'économie du vol de mots de passe : tenants et aboutissants de l'usurpation d'identité ». Le mécanisme fonctionne aussi pour les données cachées par une suite de caractères tels que l’astérisque. Sachant récupérer les informations avant qu'elles ne soient chiffrées, ou juste après qu'elles n’aient été déchiffrées, Torpig contourne aussi les mécanismes cryptographiques incorporés dans les protocoles HTTPS et SSH.

Les informations dérobées sont ensuite cryptées avant d'être envoyées vers des adresses IP codées en dur dans le code du cheval de Troie. Comme beaucoup d’autres, elles aboutissent à l’Est auprès d’individus préalablement liés au groupe disparu RBN (« Russian Business Network »).

Les variantes actuelles de Torpig s’appliquent aussi à transformer chaque ordinateur infecté en un proxy ouvert à même d’accepter des connexions HTTP, SOCKS4 et SOCKS5 en entrée. Les machines vulnérables forment ainsi un botnet qui permet de lancer d’autres types d’attaques, en utilisant abusivement la situation géographique et la réputation de chaque hôte infecté.

En France, et dès 2006, des clients d’une vingtaine de banques de l’hexagone en ont subit les conséquences (CIC-Crédit Mutuel, Société Générale, Crédit Agricole, HSBC, AXA, BNP Paribas, etc.). Depuis cette date, les policiers de l’OCLCTIC et le juge Roger de Loire enquêtent sur les individus se cachant derrière Torpig. Il s’agit d’abord d’une centaine de mules, des individus dont le seul travail consiste à renvoyer vers l’Ukraine et la Russie, via des systèmes anonymes de paiement en ligne, et après prise d’une commission, les sommes qui ont été préalablement détournées vers leurs comptes. C’est là-bas, à l’Est, que résident les chefs de gang. Ils sont, quant à eux, bien plus difficilement appréhendables.

A ce sujet, le 1^er octobre 2009, un bien étrange article paraissait sur le site du journal Valeurs Actuelles. Fuite volontaire ou impair journalistique, on y apprenait le nom de certains bénéficiaires supposés, identifiés par la police française et annoncés comme protégés par les autorités politiques russo-ukrainiennes. Sans langue de bois, l’article expliquait pourquoi nous avions peu de chance de les voir extrader sur notre territoire. L’article se terminait en effet de la manière suivante : « les autorités politiques de Kiev et du Kremlin préfèrent, c’est la thèse développée du côté des enquêteurs, garder leurs mafieux au chaud, quitte à les utiliser pour qu’ils mettent leur nez dans certaines banques de Géorgie, pas forcément amies… ».

Alors que les rumeurs de guerre informatique alimentent les discours des experts en sécurité informatique, on voit ici un exemple de ramification possible entre le cybercrime et la cyberguerre ou comment certains états considèrent les organisations criminelles comme des alliés utiles qu’il faut parfois protéger.