Des chercheurs en cybersécurité ont mis au jour un logiciel malveillant d'un nouveau genre. Baptisé Ramsay, il serait en effet capable d'infecter les machines isolées du réseau, d'y collecter des informations et de rester caché jusqu'à ce qu'il puisse envoyer les données volées aux hackers.
Outre un logiciel antivirus, une bonne façon de protéger un ordinateur des attaques informatiques consiste à recourir à la technique dite de « l'air gap ». Il s'agit tout simplement d'isoler la machine du réseau, de sorte à rendre impossible tout piratage à distance. Mais cette méthode ne serait en réalité pas infaillible.
Une menace discrète mais sérieuse
En effet, un nouveau malware, du nom de « Ramsay », aurait précisément été créé pour s'attaquer aux ordinateurs en air gap. Ce sont des chercheurs de l'entreprise slovaque ESET, spécialiste des solutions de cybersécurité, qui ont découvert la nouvelle menace. Il s'agirait d'un système sophistiqué, capable de provoquer des dégâts considérables.
Le principe de Ramsay est le suivant : une fois installé sur une machine isolée du réseau, le logiciel passe en revue l'ensemble des données stockées et rassemble des documents (Word, PDF et Zip) au sein d'un répertoire caché. Puis, le malware reste tapi dans l'ombre, en attendant de détecter une occasion ultérieure de transférer les informations recueillies.
Un malware venu de Corée du Sud ?
Reste, bien sûr, un casse-tête à résoudre : comment pénétrer un ordinateur en air gap ? D'après les auteurs de la découverte, les méthodes utilisées peuvent varier, et il existe d'ailleurs plusieurs versions de Ramsay. Mais l'une d'elles comprendrait un module de diffusion, capable notamment d'ajouter des copies du malware à des exécutables présents sur des dispositifs de stockage portables. En branchant ces derniers sur une machine en air gap, la victime contribuerait alors, malgré elle, à la contamination du système isolé.
Par ailleurs, d'autres interrogations subsistent : comment le malware procède-t-il pour récolter les données de l'ordinateur contaminé ? Comment fonctionne le module permettant le transfert des informations ? Pour l'heure, les chercheurs ne sont pas parvenus à répondre à ces questions.
Enfin, qui se cache derrière Ramsay ? Les auteurs de l'étude auraient observé plusieurs similitudes avec un autre logiciel malveillant : Retro. Celui-ci aurait été développé par un groupe de hackers connu sous le nom de DarkHotel et qui pourrait être lié au gouvernement sud-coréen.
Source : ZDNet
