Windows est visé par une nouvelle menace : des chercheurs Microsoft et Cisco Talos ont découvert Nodersok, une nouvelle souche de malware qui s'appuie sur des webapps pour exécuter du code arbitraire sur des PC cibles. Le code malicieux peut, en outre, se cacher dans des publicités. Son originalité ? L'attaque ne requiert de copier aucun code malicieux sur les machines cible – compliquant sa détection et son éradication.

Les chercheurs de Cisco Talos et de Microsoft annoncent avoir découvert un nouveau malware aussi redoutable qu'original. Ce dernier, baptisé Nodersok par Microsoft et Divergent par Cisco vise les PC sous Windows (7, 8.1 et 10) : il se cache dans les “applications HTML” aussi connues sous le nom de “webapp” (ce qui est le cas de certaines publicités sur les pages web). Le code JavaScript de ces applications télécharge un script JavaScript séparé qui aboutit au lancement d'une commande PowerShell sur la machine cible.

Malware : des publicités sur internet peuvent infecter votre PC

La commande télécharge et installe une suite d'outils dont un qui désactive Windows Defender, provoque une élévation de privilèges, capture des rackets de données et créé un proxy SOCKS. A chaque étape, le payload s'appuie sur des programmes légitimes (composants systèmes, ou autres applications signées), et ne charge aucun code malicieux sur le disque dur, ce qui complique sa détection par les antivirus. Microsoft précise néanmoins que Nodersok laisse une empreinte sur les machines.

Pour l'heure il est difficile de savoir qui se cache derrière Nodersok. L'attaque semble avoir jusqu'ici surtout été utilisée pour des fraudes au clic (le fait de générer des clics sur les publicités pour générer frauduleusement des revenus). Mais à tout moment, une variante pourrait apparaitre avec d'autres visées. Les cibles sont principalement des particuliers domiciliés aux Etats-Unis et Royaume-Uni. 3% des cibles étaient domiciliées en France.

Lire également : Facebook – un dangereux malware Windows, Mac et Linux se répand via Messenger

A en croire les données de Microsoft, “des milliers de machines” ont été infectées au cours des dernières semaines. Cisco et Microsoft expliquent que leurs suites antivirus entreprise payantes (Windows Defender ATP, Advanced Malware Prote action, Cisco Web Security, etc…) détectent déjà cette menace. Pour l'heure il n'est pas certain, néanmoins, que ce soit le cas de tous les antivirus.

Source : Engadget