D'après une enquête publiée ce jeudi 10 mai par les chercheurs de Radware, plus précisément le service de protection contre les logiciels malveillants, un nouveau malware basé principalement sur une copie de l'extension Nigelify (du navigateur Google Chrome) d'où son surnom Nigelthorn a été détecté chez l'un de leurs clients. Plus fascinant, Nigelthorn utilise des algorithmes d'apprentissage automatique et se propage via les liens générés sur Facebook selon les chercheurs. Dans leur quête d'en savoir plus, ils ont aussi découvert que les auteurs de ce malware étaient actifs depuis au moins mars 2018 étant à la base de l'infection de plus de 100 000 utilisateurs dans plus de 100 pays.Les principaux objectifs de Nigelthorn sont tout d'abord le vol de données. En effet, « Nigelthorn est axé sur le vol des identifiants de connexion Facebook et des cookies de Instagram. Si la connexion se produit sur la machine infectée (ou si un cookie Instagram est trouvé), il est aussitôt envoyé au pirate » d'après Radware, « l'utilisateur est ensuite redirigé vers une API Facebook pour générer un jeton d'accès qui sera également envoyé au pirate en cas de succès », ajoute Radware.
Radware explique qu'après une authentification réussie à travers les jetons d'accès générés, le malware collecte des informations du compte dans le but de diffuser le lien malveillant sur le réseau de l'utilisateur. La diffusion du lien est alors effectuée par message via Facebook Messenger ou en tant que nouveau message contenant des tags pouvant contenir jusqu'à 50 contacts. Une fois que la victime clique sur le lien, le processus d'infection recommence et les redirige vers une page Web de type YouTube nécessitant une « installation de plug-in » pour visionner la vidéo.
Fausse page Youtube
Outre sa propagation, le processus se poursuit par un minage de cryptomonnaie. À ce propos, Radware déclare que le malware permet le téléchargement d'un plug-in qui permet aux pirates d'utiliser les machines infectées pour miner de la cryptomonnaie grâce à un code JavaScript contrôlé par les pirates. Le minage concerne principalement les cryptomonnaies Monero, Bytecoin et Electroneum qui sont basées sur l'algorithme CryptoNight qui permet le minage via n'importe quel CPU.
Pour ce qui concerne le processus d'infection, Radware indique que Nigelthorn se cache dans des copies d'extensions disponibles sur Chrome Web Store à l'instar de Nigelify qui compte plus de 25 000 installations suivies de PwnerLike avec au moins 9 000 installations depuis le Chrome Web Store. Le malware redirige les victimes vers une fausse page YouTube et demande à l'utilisateur d'installer une extension Chrome pour lire la vidéo. Une fois que l'utilisateur clique sur « Ajouter une extension », l'extension malveillante est installée et la machine fait maintenant partie du botnet et un code JavaScript est exécuté et télécharge la configuration initiale depuis la machine du pirate.
Version officielle à gauche, version malveillante à droite
Toujours selon Radware, le malware se concentre principalement sur les navigateurs Chrome sur Windows ou Linux et Radware estime que les utilisateurs qui n'utilisent pas Chrome ne sont pas exposés. Cependant pour plus de sécurité, Radware recommande aux particuliers et aux entreprises de mettre à jour leur mot de passe actuel et de ne télécharger que des applications provenant de sources fiables.
Source : Blog Radware
Et vous ?
Qu'en pensez-vous ? Avez-vous été confronté à ce malware ?Voir aussi
Un nouveau malware infecte les PC dès que l'utilisateur place le curseur de la souris sur un lien contenu dans un fichier PowerPoint FacexWorm : un malware qui cible les plateformes d'échanges de cryptomonnaie, et qui se sert de Facebook Messenger pour se propager Kitty : un malware qui cible les sites web Drupal pour le minage de cryptomonnaie en exploitant une vulnérabilité du système de gestion de contenu 
