En 2011, Kaspersky Lab a détecté les activités d’un groupe organisé de cyber criminels utilisant le Trojan Lurk – un malware multi-modulaire sophistiqué et universel aux nombreuses fonctionnalités – pour accéder aux ordinateurs de ses victimes. Plus particulièrement, le gang tentait de pénétrer dans des services bancaires à distance pour pouvoir dérober l’argent des clients.
« Les experts de Kaspersky Lab ont été impliqués, dès les premières heures, dans l’enquête sur le gang Lurk menée par les autorités. Nous avons très vite réalisé que Lurk était un groupe de pirates russes qui présentait une menace sérieuse pour les entreprises et les utilisateurs. Ils ont commencé à attaquer les banques il y un an et demi ; avant cela, son programme malicieux visait les entreprises et les systèmes clients. Nos experts ont analysé le logiciel malicieux et identifié le réseau d’ordinateurs et de serveurs des cybercriminels. Grâce à ces informations, la Police russe a pu identifier les suspects et récolter des indices liés les crimes commis. Nous espérons pouvoir rapidement aider à faire comparaître d’autres criminels devant la justice,” a expliqué Ruslan Stoyanov, Head of computer incidents investigation chez Kaspersky Lab.
Durant l’arrestation, la Police russe a pu empêcher la transmission de fausses transactions financières dont le montant total s’élevait à plus de 30 millions de dollars (2,273 milliards de roubles[2]).

Le Trojan Lurk

Pour propager le malware, le groupe Lurk infectait un certain nombre de sites web légitimes avec des exploits kits, y compris d’importants sites d’actualité et de médias. Les victimes étaient infectées avec Lurk en visitant simplement l’une des pages compromises. Une fois infiltré dans le PC de la victime, le malware commençait à télécharger des modules malicieux complémentaires pour dérober de l’argent.

Les sites de médias n’ont pas été les seules cibles non-financières visées par le groupe. Afin de masquer leurs traces derrière des connexions VPN, les criminels ont également infiltré des entreprises du secteur des télécoms et de l’informatique, utilisant leurs serveurs pour rester anonymes.

La spécificité du trojan Lurk est que son code malicieux n’est pas stocké sur l’ordinateur de la victime mais dans la mémoire RAM. De plus, les développeurs derrière Lurk ont beaucoup travaillé pour le rendre aussi indétectable que possible par les solutions anti-virus. Ils ont utilisé différents services VPN, le réseau anonyme Tor, des points de connexion Wi-Fi compromis et des serveurs appartenant aux organisations informatiques attaquées.
Kaspersky Lab recommande aux entreprises de porter une attention particulière à leurs mesures de sécurité et de faire des vérifications régulières de leur infrastructure informatique, afin de s’assurer qu’elles soient au moins protégées contre les vulnérabilités connues. Il est également important de sensibiliser les employées aux gestes de cybersécurité élémentaires.

D’autre part, les entreprises doivent s’équiper de solutions qui leur permettront de détecter les attaques ciblées continues. La meilleure stratégie est d’associer une politique de prévention des menaces à une approche de détection et de réponse. Grâce à la comparaison des flux d’activité normaux et anormaux d’une entreprise, les attaques ciblées les plus sophistiquées peuvent ainsi être détectées.

La plus récente solution de Kaspersky Lab dédiée à la détection des attaques ciblées inclut un système intelligent d’analyse de ces anomalies : Kaspersky Anti Targeted Attack Platform.

Kaspersky Lab détecte le trojan Lurk sous les noms Trojan.Win32.Lurk, Trojan-Banker.Win32.Lurk, Trojan-Spy.Win32.Lurk.