Crypto : Nitrokod, ce malware déguisé en Google Translate

Se faisant passer pour Google Translate, ce malware a pu miner des cryptomonnaies à l’insu de 112 000 propriétaires d’ordinateur pendant un bon moment. Heureusement que Check Point Software a pu mettre à nue ce logiciel malveillant signé Nitrokod.

Une fausse application Google Translate pour miner des XMR

Lundi dernier, Check Point Software Technologies a rendu public l’existence d’un malware édité par une entité baptisée « Nitrokod ». Ce logiciel, se faisant passer pour Google Translate, est en fait malveillant et a, pendant longtemps, évité le radar du spécialiste américano-israélien de la cybersécurité.

Voici l’annonce :

.@_CPResearch_ detected a #crypto miner #malware campaign, which potentially infected thousands of machines worldwide. Dubbed ‘Nitrokod,” the attack was initially found by Check Point XDR. Get the details, here: https://t.co/MeaLP3nh97 #cryptocurrecy #TechnologyNews #CyberSec pic.twitter.com/ANoeI7FZ1O

— Check Point Software (@CheckPointSW) August 29, 2022

« @_CPResearch_ a détecté une campagne de #crypto miner #malware, qui a potentiellement infecté des milliers de machines dans le monde. Baptisée “Nitrokod”, l’attaque a été initialement découverte par Check Point XDR. »

À ce jour, ce logiciel développé par Nitrokod INC a pu infecter près de 112 000 ordinateurs. Ici, « infecter » est peu dire, puisque son installation a permis le mining de cryptomonnaies, en particulier le Monero (XMR).

Les utilisateurs ne se doutaient de rien puisqu’ils avaient téléchargé des « logiciels gratuits et sûrs » en apparence. Ils sont téléchargeables sur des sites populaires comme Uptodown, Softpedia, etc., et affichent de nombreux avis positifs. Plusieurs personnes ont été induites en erreur par cette fausse version de bureau de Google Translate vu qu’elle a une note moyenne de 9,3/10 sur Softpedia.

Cela démontre à quel point l’équipe de Nitrokod est très rusée. D’ailleurs, proposer une version bureau d’une application très utilisée comme Google Translate ou Youtube Music Desktop se présente comme une pratique très fructueuse pour ces pirates.

Le modus operandi de Nitrokod

D’après CPR, Nitrokod est l’auteur d’une campagne de mining crypto qui a infecté des milliers de machines répartis dans 11 pays. Actif depuis 2019, ce développeur de logiciels agit de la sorte :

• éditer des logiciels populaires exempts de version de bureau officielle ;
• proposer des programmes faciles à développer à partir des pages Web officielles en s’appuyant sur Chromium ;
• séparer l’activité malveillante du programme Nitrokod afin d’écarter toute méfiance ;
• faire en sorte que l’utilisateur installe l’application Google Translate sans avoir à se poser de questions ;
• proposer l’installation d’un fichier de mise à jour pour intégrer en douce le véritable malware ;
• connecter le logiciel malveillant au serveur C & C en vue de l’obtention d’une configuration pour le mineur crypto XMRig ;
• lancer par la suite le mining crypto proprement dit.

Il faut noter que la détection de ce logiciel malveillant a été très difficile pour Check Point Software Technologies. Maya Horowitz, vice-présidente du département recherche de cette entreprise, en a fait l’aveu :

« Ce qui est les plus intéressant selon moi, c’est le fait que ce logiciel malveillant soit si populaire, tout en étant passé sous le radar pendant si longtemps. »

L’imitation du vrai logiciel semble parfaite, au point de berner des personnes résidant en Israël, à Chypre, voire en Australie.

Si vous voulez éviter ce genre d’application, voici le conseil de M. Horowitz :

« Méfiez-vous des domaines similaires, des fautes d’orthographe dans les sites Web et des expéditeurs de courriels inconnus. Ne téléchargez des logiciels qu’auprès d’éditeurs ou de vendeurs autorisés et connus, et assurez-vous d’avoir un niveau de sécurité élevé en vue d’une protection complète. »

Conclusion

Avec l’arrivée des cryptomonnaies, plusieurs formes de cybercriminalité ont émergé de part et d’autre de la planète. Cette fausse application Google Translate entre dans la catégorie « cryptojacking » d’AVG. Donc, une fois installée dans votre ordinateur, elle fera en sorte de pomper toutes les ressources de votre système, et corolairement, d’augmenter votre facture d’électricité. À noter que le cryptojacking se limite au mining de cryptomonnaies qui fera gagner de l’argent à l’attaquant. Vos données resteront donc à l’abri, sauf si les pirates décident de changer de procédé.