Opération Lurk : 47 millions de d’Euros volés

Les experts de Kaspersky Lab et Sberbank, l’une des banques russes les plus importantes, ont travaillé de avec le soutien des autorités pour enquêter sur le Lurk gang, un groupe de pirates informatiques. 50 personnes arrêtées, au moins 45 millions de dollars volés, soit 47 millions d’Euros, via un trojan.

Les personnes arrêtées sont suspectées d’avoir participé à la création de réseaux d’ordinateurs infectés (des bots et zombies via le code malveillant Lurk) qui ont permis le vol de plus de 45 millions de dollars (3 milliards de roubles) dans des banques, des  institutions financières et des entreprises depuis au moins 5 ans.  Il s’agit de la plus grande arrestation de cyber criminels jamais réalisée en Russie. Un pays qui était connu pour son laxisme à l’encontre des pirates locaux.

En 2011, était détecté les activités d’un groupe organisé de cyber criminels utilisant le trojan Lurk – un malware multi-modulaire sophistiqué et universel aux nombreuses fonctionnalités – pour accéder aux ordinateurs de ses victimes. Plus particulièrement, le gang tentait de pénétrer dans des services bancaires à distance pour pouvoir dérober l’argent des clients. Un cheval de Troie efficace. Le code malveillant avait d’abord était utilisé pour attaquer des entreprise. Les experts Russes de Kaspersky Lab vont se rendre compte, via leurs sondes installés chez leurs clients (antivirus, firewall…) que Lurk visait depuis la mi 2014 les banques et leurs clients. La Police russe a pu empêcher la transmission de fausses transactions financières dont le montant total s’élevait à plus de 30 millions de dollars (2,273 milliards de roubles[2]).

Le trojan Lurk

Pour propager le malware, le groupe Lurk infectait un certain nombre de sites web légitimes avec des exploits kits, y compris d’importants sites d’actualité et de médias. Les victimes étaient infectées avec Lurk en visitant simplement l’une des pages compromises. Une fois infiltré dans le PC de la victime, le malware commençait à télécharger des modules malicieux complémentaires pour dérober de l’argent.

Les sites de médias n’ont pas été les seules cibles non-financières visées par le groupe. Afin de masquer leurs traces derrière des connexions VPN, les criminels ont également infiltré des entreprises du secteur des télécoms et de l’informatique, utilisant leurs serveurs pour rester anonymes.

La spécificité du trojan Lurk est que son code malicieux n’est pas stocké sur l’ordinateur de la victime mais dans la mémoire RAM. De plus, les développeurs derrière Lurk ont beaucoup travaillé pour le rendre aussi indétectable que possible par les solutions anti-virus. Ils ont utilisé différents services VPN, le réseau anonyme Tor, des points de connexion Wi-Fi compromis et des serveurs appartenant aux organisations informatiques attaquées.