Depuis plusieurs années, SprySOCKS s’est imposé comme un malware notoirement ciblé sur Linux. Pourtant, une nouvelle évolution a été détectée. Désormais, cette menace infecte aussi des machines Windows, frappant notamment des institutions gouvernementales à travers le monde.
Ce basculement est loin d’être anodin. Il reflète une sophistication accrue des cyberattaquants. Leur objectif : renforcer leur arsenal pour mieux infiltrer et espionner des infrastructures sensibles.
Les variantes Windows de SprySOCKS entrent en scène avec des fonctionnalités furtives avancées
Identifiées via des études récentes d’ESET, ces déclinaisons ont été découvertes entre 2023 et 2024. L’accent est mis sur une double approche, avec deux versions distinctes : WIN_DRV et WIN_PLUS.
WIN_DRV se démarque par des capacités proches d’un rootkit. Il exploite notamment la faille nommée CVE-2023-24932 et s’appuie sur des pilotes noyau pour dissimuler sa présence. WIN_PLUS opte pour une approche plus simple, mais tout aussi efficace pour assurer la persistance sur la machine infectée.
Du côté des méthodes d’infiltration et de persistance
Chaque variante emploie des techniques bien rodées pour rester active. WIN_DRV utilise une tâche planifiée liée à l’exécutable vds.exe, un processus Windows bien connu. A contrario, WIN_PLUS se cache sous la forme d’un processeur d’impression, moins suspect aux yeux des administrateurs.
Ces méthodes ne sont pas laissées au hasard. Elles s’appuient sur des mécanismes système standards, détournés pour ne pas éveiller les soupçons. C’est comme huiler un moteur avant de le démonter : la subtilité fait toute la différence.
Un malware multifonction aux multiples facettes
Au-delà de la discrétion, les deux variantes partagent une palette fonctionnelle pointue. Elles communiquent à travers TCP, UDP et WebSocket. Le malware reçoit ainsi des ordres depuis des serveurs de commande et contrôle (C2) distants.
Les capacités qu’elles embarquent ne laissent guère de doute sur leur vocation : espionnage et collecte de données.
Des fonctionnalités avancées pour espionner et contrôler
Le malware collecte des informations sur le système et peut interagir avec les processus en cours. Il manipule les fichiers, agit comme un proxy SOCKS et enregistre les frappes clavier avec un keylogger. Mieux encore, il peut surveiller le contenu du presse-papiers, une source insoupçonnée d’informations sensibles.
La version WIN_DRV intrigue particulièrement. Grâce à son rootkit, elle détourne le trafic TCP. Cela permet aux pirates d’échanger avec la porte dérobée via un port aléatoire, masquant ainsi leur activité au regard des dispositifs de surveillance réseau classiques.
Une menace qui cible des institutions gouvernementales en Asie et au-delà
Les cibles identifiées incluent des administrations en Taïwan, en Thaïlande, au Pakistan et au Honduras. Ce choix géographique révèle un objectif stratégique clair : l’espionnage au sein d’entités étatiques sensibles.
Les opérateurs derrière SprySOCKS sont attribués au groupe Earth Lusca, aussi connu sous le nom FishMonger, soupçonné d’avoir des liens directs avec des contractants chinois. Leur tactique est un classique des groupes avancés : infecter un poste de travail, se propager latéralement et atteindre leurs véritables cibles, souvent des serveurs au cœur de l’infrastructure.