Selon les études effectuées, les agresseurs ont développé une nouvelle façon d’intégrer du code malveillant dans un fichier image et le télécharger sur les sites web de réseaux sociaux. Les agresseurs exploitent un défaut de configuration dans l’infrastructure des réseaux sociaux pour forcer délibérément leurs victimes à télécharger le fichier image. L’appareil de l’utilisateur est infecté dès qu’il clique sur le fichier téléchargé.

Depuis ses trois derniers jours, le secteur de la sécurité suit de très près la propagation massive du logiciel rançonneur Locky via les réseaux sociaux, en particulier dans sa campagne Facebook. Les chercheurs de Check Point sont convaincus que la nouvelle technique ImageGate révèle comment cette campagne a été rendue possible, une question qui est restée sans réponse jusqu’à présent.

Ils ont pu ainsi découvrir le vecteur d’attaque qui affecte les principaux sites web et réseaux sociaux dans le monde entier, y compris Facebook et LinkedIn. Check Point a informé Facebook et LinkedIn du vecteur d’attaque dès le début du mois de septembre.

Démonstration : https://youtu.be/sGlrLFo43pY

Dans le cas du logiciel rançonneur Locky, une fois que les utilisateurs téléchargent et ouvrent le fichier malveillant qu’ils reçoivent, tous les fichiers présents sur leur appareil personnel sont automatiquement chiffrés et ne peuvent être récupérés qu’après paiement de la rançon. Le secteur estime que la campagne est toujours active et fait de nouvelles victimes chaque jour.

« À mesure que les gens passent plus du temps sur les sites de réseaux sociaux, les pirates recherchent un moyen d’entrer sur ces plates-formes, » déclare Oded Vanunu, Head of Check Point’s Products Vulnerability Research. « Les cybercriminels comprennent que ces sites sont généralement mis en liste blanche, et pour cette raison, ils sont continuellement à la recherche de nouvelles techniques pour exploiter les réseaux sociaux à des fins malveillantes. Afin de protéger les utilisateurs contre les menaces les plus avancées, les chercheurs de Check Point essaient d’identifier les prochaines cibles des agresseurs. »

Comment rester protégé ? Check Point recommande les mesures de prévention suivantes :

1. Si vous avez cliqué sur une image et que votre navigateur commence à télécharger un fichier, ne l’ouvrez pas. Les sites web de réseaux sociaux devraient afficher des images sans avoir à télécharger de fichier.

2. N’ouvrez pas de fichier image comportant une extension inhabituelle (telle que SVG, JS ou HTA).

Une description technique détaillée du vecteur d’attaque sera publiée par Check Point lorsque la vulnérabilité aura été corrigée dans les principaux sites concernés, afin d’empêcher les agresseurs de tirer profit de ces informations.