Les opérateurs à l’origine du Rig Exploit Kit ont remplacé le logiciel malveillant Raccoon Stealer par le cheval de Troie financier Dridex dans le cadre d’une campagne en cours qui a débuté en janvier 2022.
Le changement de modus operandi, Pointé par la société roumaine Bitdefender, fait suite à la fermeture temporaire du projet par Raccoon Stealer après le décès d’un des membres de son équipe responsable des opérations critiques lors de la guerre russo-ukrainienne en mars 2022.
Le Rig Exploit Kit se distingue par son utilisation abusive des exploits de navigateur pour distribuer un éventail de logiciels malveillants. Repéré pour la première fois en 2019, Raccoon Stealer est un cheval de Troie voleur d’informations d’identification qui est annoncé et vendu sur des forums clandestins en tant que malware-as-a-service (MaaS) pour 200 $ par mois.
Cela dit, les acteurs de Raccoon Stealer travaillent déjà sur une deuxième version qui devrait être « réécrite à partir de zéro et optimisée ». Mais le vide laissé par la sortie du malware est comblé par d’autres voleurs d’informations tels que RedLine Stealer et Vidar.
Dridex (alias Bugat et Cridex), pour sa part, a la capacité de télécharger des charges utiles supplémentaires, d’infiltrer les navigateurs pour voler les informations de connexion des clients saisies sur les sites Web bancaires, de capturer des captures d’écran et de consigner les frappes au clavier, entre autres, via différents modules qui permettent à ses fonctionnalités d’être prolongé à volonté.
En avril 2022, Bitdefender a découvert une autre campagne Rig Exploit Kit distribuant le cheval de Troie RedLine Stealer en exploitant une faille d’Internet Explorer corrigée par Microsoft l’année dernière (CVE-2021-26411).
Ce n’est pas tout. En mai dernier, une campagne distincte exploité deux vulnérabilités du moteur de script dans les navigateurs Internet Explorer non corrigés (CVE-2019-0752 et CVE-2018-8174) pour livrer un malware appelé WastedLoader, ainsi nommé pour ses similitudes avec WasterLocker mais dépourvu du composant ransomware.
« Cela démontre une fois de plus que les acteurs de la menace sont agiles et rapides à s’adapter au changement », a déclaré la société de cybersécurité. « De par sa conception, Rig Exploit Kit permet une substitution rapide des charges utiles en cas de détection ou de compromission, ce qui aide les groupes de cybercriminels à se remettre des perturbations ou des changements environnementaux. »
