Opération Endgame : la saison 4 commence avec Gootloader

Saison 4, épisode 1. L’Opération Endgame reprend de plus belle avec, cette fois-ci, Gootloader, en particulier.

Ce maliciel est loin d'être un nouveau venu dans le paysage de la menace. Selon la documentation, il est au moins développé depuis 2020. Selon les forces de l'ordre, 2018.

À la base, du code Javascript caché dans une archive Zip. Son exécution entraîne celle de lignes PowerShell qui conduiront à la compromission de l'ordinateur du malchanceux internaute. Ce dernier aura été berné par des résultats de recherche empoisonnés qui l'auront conduit sur, notamment, un site Wordpress compromis par l'opérateur de Gootloader. Son ordinateur sera dès lors un point d'entrée sur son réseau. Ce que l'on appelle un accès initial.

En 2024, Microsoft détaillait la manière dont l'acteur malveillant Vanilla Tempest profitait des accès initiaux fournis par les opérateurs de Gootloader pour lancer des cyberattaques débouchant sur la détonation d'un rançongiciel, celui de l'enseigne Vice Society pendant un temps, puis celui de INC.

Dans une vidéo publiée sur le site de l'opération Endgame, les forces de l'ordre font notamment état de la compromission d'une interface d'administration de Gootloader hébergée en Afrique du Sud.

Elle aura servi de point de départ à la saisie de 235 serveurs et 257 noms de domaine utilisé par Gootloader, mais également CastleRAT et StealC. Pour le premier, 14 serveurs et 218 noms de domaine ont été concernés, conduisant au nettoyage de 681 sites compromis animés par WordPress. Pour le second, 120 serveurs et 39 noms de domaines ont été saisis. Pour StealC, 102 serveurs, dans la continuité des efforts dévoilés en juin dernier.

Le plus impressionnant est peut-être le butin des forces de l'ordre, qui donne une idée - parcellaire - de l'ampleur de la menace et du nombre de victimes susceptibles d'encore s'ignore : « plus de 6 millions d'identifiants de victimes ont été identifiés dans l'infrastructure criminelle appartenant aux cybercriminels et saisies par les autorités au cours de cette semaine ».

Parmi les dépositaires de ces précieuses données, on compte désormais HaveIBeenPowned, mais également le français Sekoia et la fondation ShadowServer.