Les chercheurs en cybersécurité ont fait la lumière sur un cheval de Troie d’accès à distance activement maintenu appelé DCRat (alias DarkCrystal RAT) qui est proposé à la vente à des prix « très bon marché », le rendant accessible aux groupes de cybercriminels professionnels et aux acteurs novices. « Contrairement aux groupes de menaces russes massifs et bien financés qui créent des logiciels malveillants personnalisés […], ce cheval de Troie d’accès à distance (RAT) semble être l’œuvre d’un acteur solitaire, offrant un outil maison étonnamment efficace pour ouvrir des portes dérobées avec un budget,  » ont déclaré les chercheurs de BlackBerry dans un rapport partagé avec breachtrace. « En fait, le RAT commercial de cet acteur de la menace se vend à une fraction du prix standard que ces outils commandent sur les forums clandestins russes. » Écrit en .NET par un individu nommé « boldenis44 » et « crystalcoder », DCRat est une porte dérobée complète dont les fonctionnalités peuvent être encore augmentées par des plugins tiers développés par des affiliés à l’aide d’un environnement de développement intégré (IDE) dédié appelé DCRat Studio. Il a été publié pour la première fois en 2018, avec la version 3.0 expédiée le 30 mai 2020 et la version 4.0 lancée près d’un an plus tard le 18 mars 2021. Les prix du cheval de Troie commencent à 500 RUB (5 $) pour une licence de deux mois, 2 200 RUB (21 $) pour un an et 4 200 RUB (40 $) pour un abonnement à vie, des chiffres qui sont encore réduits lors de promotions spéciales. Alors qu’une précédente analyse de Mandiant en mai 2020 a retracé l’infrastructure du RAT jusqu’à files.dcrat[.]ru, le paquet de logiciels malveillants est actuellement hébergé sur un domaine différent nommé crystalfiles[.]ru, indiquant un changement en réponse à la divulgation publique.

Toutes les opérations de marketing et de vente de DCRat sont effectuées via le populaire forum de piratage russe lolz[.]guru, qui gère également certaines des requêtes de prévente de DCRat », ont déclaré les chercheurs. Une chaîne Telegram qui compte environ 2 847 abonnés au moment de la rédaction est également activement utilisée pour les communications et le partage d’informations sur les mises à jour de logiciels et de plugins.

Les messages publiés sur la chaîne ces dernières semaines couvrent les mises à jour des plug-ins CryptoStealer, TelegramNotifier et WindowsDefenderExcluder, ainsi que les « modifications/correctifs cosmétiques » du panneau. « Certaines fonctionnalités amusantes ont été déplacées vers le plugin standard », lit-on dans un message traduit partagé le 16 avril. « Le poids de la construction a légèrement diminué. Il ne devrait y avoir aucune détection spécifique à ces fonctions. » Outre son architecture modulaire et son cadre de plug-in sur mesure, DCRat comprend également un composant administrateur conçu pour déclencher furtivement un kill switch, ce qui permet à l’auteur de la menace de rendre l’outil inutilisable à distance. L’utilitaire d’administration, pour sa part, permet aux abonnés de se connecter à un serveur de commande et de contrôle actif, d’envoyer des commandes aux terminaux infectés et de soumettre des rapports de bogue, entre autres. Les vecteurs de distribution utilisés pour infecter les hôtes avec DCRat incluent Cobalt Strike Beacons et un système de direction du trafic (TDS) appelé Prometheus, une solution crimeware-as-a-service (CaaS) par abonnement utilisée pour fournir une variété de charges utiles. L’implant, en plus de collecter les métadonnées du système, prend en charge les capacités de surveillance, de reconnaissance, de vol d’informations et d’attaque DDoS. Il peut également capturer des captures d’écran, enregistrer des frappes au clavier et voler du contenu à partir de presse-papiers, de télégrammes et de navigateurs Web. « De nouveaux plugins et des mises à jour mineures sont annoncés presque tous les jours », ont déclaré les chercheurs. « Si la menace est développée et entretenue par une seule personne, il semble que c’est un projet sur lequel elle travaille à plein temps. »

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *