Le propriétaire d’une société suédoise derrière un outil d’administration à distance (RAT) populaire impliqué dans des milliers d’attaques de logiciels malveillants partage le même nom qu’un Suédois qui a plaidé coupable en 2015 d’avoir co-créé le RAT noirun produit similaire qui a été utilisé pour infecter plus d’un demi-million d’ordinateurs avec des logiciels malveillants, a appris BreachTrace.
Une publicité pour RevCode WebMonitor.
Il s’agit d’un programme appelé « Moniteur Web”, qui a été conçu pour permettre aux utilisateurs de contrôler à distance un ordinateur (ou plusieurs machines) via un navigateur Web. Les créateurs de WebMonitor, une société suédoise appelée « RevCode», affirment que leur produit est un logiciel légal et légitime « qui aide les entreprises et les utilisateurs personnels à gérer la sécurité des appareils qu’ils possèdent ».
Mais les critiques disent que WebMonitor est beaucoup plus susceptible d’être déployé sur des appareils « pwnés », ou ceux qui sont piratés subrepticement. Le logiciel est largement classé comme malware par la plupart des éditeurs d’antivirus, probablement grâce à une liste de fonctionnalités annoncée qui inclut le vidage de la mémoire temporaire de l’ordinateur distant ; récupérer les mots de passe de dizaines de programmes de messagerie ; piéger les informations d’identification Wi-Fi de la cible ; et visionner la webcam de la cible.
Dans un article sur WebMonitor publié en avril 2018chercheurs de l’entreprise de sécurité Réseaux de Palo Alto a noté que le produit a été principalement annoncé sur des forums de piratage clandestins et que ses développeurs ont promu plusieurs qualités du logiciel susceptibles de plaire aux cybercriminels cherchant à compromettre secrètement les PC.
Par exemple, le site Web de RevCode a vanté la compatibilité du logiciel avec tous les « crypteurs», un logiciel capable de crypter, d’obscurcir et de manipuler les logiciels malveillants pour les rendre plus difficiles à détecter par les programmes antivirus. Palo Alto a également noté que WebMonitor inclut l’option de supprimer toutes les boîtes de notification qui peuvent apparaître lorsque le RAT est installé sur un ordinateur.
Une capture d’écran du panneau du générateur WebMonitor.
RevCode maintient qu’il s’agit d’une entreprise légitime officiellement enregistrée en Suède qui obéit à toutes les lois suédoises applicables. Quelques heures de recherche en ligne se sont révélées un dossier intéressant à Ratsit AB, un service d’information sur le crédit basé en Suède. Cet enregistrement indique que RevCode appartient à un résident suédois de 28 ans Alex Yucel.
En février 2015, Alex Yücel, alors âgé de 24 ans a plaidé coupable devant un tribunal américain au piratage informatique et à la création, la commercialisation et la vente de Blackshades, un RAT utilisé pour compromettre et espionner des centaines de milliers d’ordinateurs. Arrêté en Moldavie en 2013 dans le cadre d’un démantèlement international à grande échelle contre Blackshades et des centaines de clients, Yücel est devenu la première personne à être extradée de Moldavie vers les États-Unis.
Yücel a été condamné à 57 mois de prison, mais selon un dossier pour Yücel au Bureau fédéral américain des prisons, il a été libéré le 1er novembre 2016. Les premières annonces dans les forums de hackers pour la vente de WebMonitor ont commencé à la mi-2017. RevCode a été enregistrée en tant que société suédoise officielle en 2018, selon Ratsit.
Jusqu’à récemment, RevCode publiait sur son site Web un taxe sur la valeur ajoutée (TVA), un identifiant utilisé dans de nombreux pays européens à des fins de taxe sur la valeur ajoutée. Ce numéro de TVA – d’abord noté par le blog Krabsonsecurity.com (qui emprunte beaucoup à la conception et à la bannière de ce site mais n’a par ailleurs aucun rapport avec BreachTrace.com) – a depuis été supprimé du site Web RevCode et de documents historiques à The Internet Archive. le Numéro de TVA cité dans ce rapport est enregistré auprès d’Alex Yücel et correspond au numéro indiqué pour RevCode par Ratsit AB.
Yücel n’a pas pu être joint immédiatement pour commenter. Mais une personne anonyme a répondu à un e-mail envoyé à l’adresse du support client indiquée sur le site de RevCode. Présenté avec les informations et les liens référencés ci-dessus, la personne qui a répondu a écrit : « personne travaillant pour/avec RevCode n’est en aucune façon lié à BlackShades. Tout ce qui suggère le contraire n’est rien d’autre que des rumeurs et des tentatives de dégrader notre entreprise par le biais de la diffamation.
La personne répondant à partir de l’adresse e-mail d’assistance de RevCode a affirmé que l’Alex Yücel répertorié comme propriétaire de la société n’était pas le même Alex Yücel reconnu coupable d’avoir co-écrit Blackshades. Cependant, à moins que le dossier Ratsit ne soit complètement faux, cela semble peu probable.
Selon la liste Ratsit, Alex Yücel qui dirige RevCode vit actuellement dans une banlieue de Stockholm, en Suède, avec ses parents Can et Rita Yücel. Can et Rita Yücel ont tous deux cosigné une lettre (PDF) en juin 2015 témoignant devant un tribunal fédéral de New York concernant la moralité irréprochable de leur fils avant la condamnation de Yücel le plus jeune pour la condamnation de Blackshades, selon les archives judiciaires.
Une lettre des parents d’Alex Yücel au tribunal en juin 2016.