Les experts de Kaspersky Lab ont analysé la campagne d’espionnage « Darkhotel », qui sévit dans l’ombre depuis au moins quatre ans. Elle cible certains dirigeants d’entreprises en voyage à l’étranger séjournant dans des hôtels de luxe, dans le but de leur dérober des données sensibles.
Selon l’éditeur, les pirates ne s’attaquent jamais deux fois à la même victime : opérant avec une précision chirurgicale, ils obtiennent le plus possible d’informations de valeur dès le premier contact, effaçant les traces de leurs agissements et se fondant dans le décor en attendant la prochaine cible d’envergure. Parmi les victimes les plus récentes figurent notamment de hauts responsables – PDG, directeurs des ventes et du marketing, chercheurs de haut niveau, etc. – d’entreprises américaines ou asiatiques en voyage d’affaires dans la région Asie-Pacifique.
Le mode de fonctionnement de l’attaque
Les auteurs de la campagne d’espionnage Darkhotel ont déployé un dispositif efficace d’intrusion des réseaux d’hôtels, leur permettant depuis plusieurs années d’accéder à des systèmes même réputés privés et sécurisés. Ils attendent que leur victime, à son arrivée à l’hôtel, se connecte au réseau Wifi de l’établissement, communiquant son nom et son numéro de chambre. Ils l’accueillent alors sur le réseau infecté et l’incitent à télécharger et installer un malware de type backdoor, censé être une mise à jour de logiciels courants (GoogleToolbar, Adobe Flash ou Windows Messenger). La victime télécharge sans méfiance ce « cadeau de bienvenue » de l’hôtel, ce qui n’a d’autre effet que d’infecter sa machine avec le logiciel espion de Darkhotel.
Une fois implanté sur un système, la backdoor sert à télécharger des outils de vol plus élaborés : un enregistreur de frappes clavier (keylogger) à signature numérique, le cheval de Troie « Karba » ainsi qu’un module de vol d’informations. Ces outils collectent des données sur le système et les logiciels antimalwares qui y sont installés, Ils recherchent également des mots de passe cachés dans les navigateurs Firefox, Chrome et Internet Explorer, des identifiants Gmail Notifier, Twitter, Facebook, Yahoo! ou Google, ainsi que d’autres informations privées. Les victimes se font dérober des données sensibles, vraisemblablement des éléments de propriété intellectuelle appartenant à leur entreprise. Après leur intrusion, les pirates effacent minutieusement tous leurs outils du réseau de l’hôtel et se remettent à l’affût dans l’ombre.
Les experts de Kaspersky Lab préconisent de passer par un fournisseur de réseau privé virtuel (VPN) afin de bénéficier d’un canal crypté de communication lors de l’accès à des réseaux Wifi publics ou semi-publics.
