Profitant de l'intérêt des internautes pour l'espace et les images capturées par le télescope James Webb, des pirates ont lancé une campagne de phishing basée sur l'intégration d'un malware dans un JPG.

A chaque fois que la NASA publie un cliché du télescope spatial James Webb, c'est l'effervescence. De très nombreux internautes se ruent sur les images pour observer des points de vue inédits sur l'univers lointain à travers des photos uniques. Un engouement qui n'a pas échappé aux pirates, qui exploitent ces images pour tromper les utilisateurs et infecter leurs appareils.

Les experts en cybersécurité de Securonix ont enquêté sur cette campagne d'un nouveau genre, nommée GO#WEBBFUSCATOR. Le malware ainsi distribué est écrit en langage de programmation Golang, qui a l'avantage d'être pris en charge par les principaux supports de bureau : Windows, Linux et macOS.

Les images du télescope James Webb comme tentative de phishing

Pour piéger les victimes, les pirates ont recours à la technique bien connue du phishing. Un email est reçu par la cible, qui est encouragée à ouvrir la pièce jointe afin de découvrir une image capturée par le télescope James Webb. Il s'agit d'une photo publiée par la NASA en juillet dernier, qui montre SMACS 0723, un amas de galaxies situé à plus de quatre milliards d'années-lumière de la Terre. Cette image composite a été baptisée Premier champ profond de Webb et constitue un événement pour les passionnées d'astronomie puisque c'est la première prise et rendue publique par le télescope James Webb.

L'image envoyée par les pirates est cachée dans un fichier Word répondant au nom de Geos-Rates.docx, qui contient une macro malveillante s'exécutant automatiquement à l'ouverture du fichier. Si vous avez désactivé les macros dans votre suite Office, vous êtes donc en sécurité. Si ce n'est pas le cas, le code va permettre le téléchargement d'une image JPG, qui cache elle-même un fichier exécutable .exe, qui va alors se lancer.

Dans une visionneuse d'images, le fichier JPG montre bien SMACS 0723. En l'ouvrant avec un éditeur de texte, on constate la présence de contenus encodés en Base64, qui se transforment en un fichier exécutable 64 bits malveillant.

Source : Securonix