Une nouvelle campagne d'attaques contre les PME utilise un botnet pour distribuer des malwares de PoS

Un groupe d'attaquants sophistiqués réutilise des outils de test de pénétration pour percer dans les réseaux de petites et moyennes entreprises du monde entier. Infecter les systèmes de points de vente avec des logiciels malveillants.

La nouvelle campagne d'attaques a débuté en septembre et a été baptisée Black Atlas par des chercheurs du fournisseur de logiciels antivirus Trend Micro. Les attaquants utilisent un large éventail d'outils pour analyser Internet et identifier les points faibles potentiels dans les réseaux de diverses organisations, selon les chercheurs.

Leur jeu d'outils inclut des scanners de ports, des outils de devinettes de mot de passe, SMTP (Simple Mail Transfer Protocol scanners, visualiseurs de bureau à distance et autres applications d'attaque faciles à trouver sur Internet

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

"Les réseaux avec des pratiques de mots de passe faibles risquent d'être victimes »Les chercheurs de Trend Micro ont déclaré dans un article de blog

. Si les pirates parviennent à percer, ils utilisent des logiciels malveillants et des outils supplémentaires pour se déplacer latéralement sur le réseau et compromettre les systèmes de PDS. Pendant ce temps, ils volent divers identifiants en cours de route, y compris les mots de passe email et Facebook.

Une fois qu'ils ont accès à un système de PDS, les pirates installent un programme de grattage de la mémoire.

Les chercheurs de Trend Micro ont vu les attaquants de Black Atlas utiliser de multiples logiciels malveillants tels que Alina, NewPOSThings et BlackPOS. Ce dernier a également été utilisé dans l'attaque contre Target en 2013 qui a entraîné la compromission d'environ 40 millions de détails de carte de paiement.

BlackPOS n'a pas de méthode d'exfiltration de données en ligne et enregistre les détails de la carte dans un fichier texte local. Les attaquants de Black Atlas l'associent à un programme de porte dérobée de type botnet connu sous le nom de Gorynych ou Diamond Fox.

"Gorynych saisit maintenant ce fichier texte et effectue un POST HTTP pour compléter l'exfiltration des données", selon les chercheurs de Trend Micro. Le même botnet est également utilisé pour déployer BlackPOS.

Les attaquants ont compromis des entreprises à travers le monde, y compris une organisation de soins de santé anonyme aux États-Unis, ce qui a permis à Trend Micro d'effectuer une analyse plus approfondie. Les pays les plus touchés sont les États-Unis, l'Australie, l'Inde, Taïwan, l'Allemagne et le Royaume-Uni