Les cabinets de sécurité Symantec, Avast et McAfee viennent de découvrir une nouvelle vague de programmes malveillants utilisés pour des cyberattaques vers des banques et d'autres organismes sud-coréens.Les malwares sont identifiés par les noms Trojan.Jokra et Ws.Reputation.1. Après installation, ceux-ci créent un objet de mappage de fichiers pour se référencer en utilisant le nom : JO840112-CRAS8468-11150923-PCI8273V. Ensuite, ils arrêtent les deux processus liés aux fournisseurs locaux d’antivirus, notamment pasvc.exe et clisvc.exe.
Un listing de tous les lecteurs est effectué par ceux-ci avant le début d’une opération visant à écraser le Master Boot Record et toutes les données stockées en y écrivant la chaîne ‘PRINCIPES’ ou ‘HASTATI.’. Ce qui aurait pour effet d’effacer le contenu du disque dur en entier.
Les malwares obligent enfin l’ordinateur à redémarrer en exécutant ‘shutdown -r -t 0’, ce qui rend l’ordinateur inutilisable puisque la zone d’amorçage et le contenu du (des) disque(s) sont maintenant manquants.
« L'attaque a aussi écrasé des parties aléatoires du système de fichiers avec les mêmes chaînes de caractères, ce qui rend plusieurs fichiers irrécupérables », expliquent Jorge Arias et Guilherme Venere, deux analystes de logiciels malveillants de McAfee. « Donc, même si le MBR est restauré, les fichiers sur le disque seront aussi corrompus. »
Le malware tente également de fermer deux autres produits antivirus sud-coréens déployés par les entreprises AhnLab et Hauri. Une autre composante, un script shell bash, tente d'effacer les partitions systèmes Unix, y compris Linux et HP-UX.
Avast a écrit sur son blog que les attaques contre les banques sud-coréennes provenaient du site web du Korean Software Property Right Council. Pour lui, le site a été piraté et intègre un iframe qui délivre une attaque hébergée sur un autre site.
Selon Avast, le code d'attaque exploite une vulnérabilité d’IE datant de juillet 2012, bien qu’elle ait été corrigée par Microsoft.
La purge du disque n’est pas une nouveauté puisqu’en août 2012, le malware W32.Disttrack avait lui aussi causé des dommages similaires.
Ces attaques ne sont pas revendiquées, mais une montée en puissance de tensions politiques dans la péninsule coréenne est observée.
Source : blog Symantec , blog McAfee , blog Avast
Et vous ?
D’après votre analyse, quelles pourraient en être les motivations ? 
Envoyé par Stéphane le calme
