En bref

• Rhadamanthys Stealer est un important outil de malware-as-a-service (MaaS), désormais en version 0.9.2.
• Les nouvelles fonctionnalités incluent une empreinte numérique avancée des appareils et navigateurs, ainsi que la dissimulation de code malveillant dans des images PNG.
• Vendu sous forme de forfaits mensuels à plusieurs niveaux à partir de 299 $, il est commercialisé comme un logiciel légitime.
• Les développeurs utilisent un branding et une infrastructure dignes d’une entreprise, rendant cette menace persistante et adaptative.
• Les charges utiles sont livrées via la stéganographie, échappant ainsi aux outils de sécurité traditionnels.

Un empire du malware en devenir

Imaginez un voleur métamorphe qui ne se contente pas de dérober vos biens, mais qui étudie aussi votre maison, apprend vos habitudes et revient à chaque fois avec de nouveaux tours. C’est la réalité à laquelle sont confrontés les défenseurs de la cybersécurité avec Rhadamanthys Stealer - une famille de malwares qui a évolué d’un simple infostealer à une opération cybercriminelle sophistiquée et professionnalisée. Apparu pour la première fois en 2022, Rhadamanthys n’était au départ qu’un nom de plus sur les forums clandestins, mais son développeur, connu sous le nom de "kingcrete2022", avait des ambitions bien plus grandes.

Contrairement à la plupart des projets de malware éphémères, Rhadamanthys est vendu via des sites web professionnels sous des noms comme "RHAD security" et "Mythical Origin Labs". Ses créateurs font même la promotion d’outils complémentaires comme Elysium Proxy Bot et Crypt Service, offrant une suite complète de solutions cybercriminelles. Le malware est distribué en tant que service, avec des abonnements allant de 299 $ à 499 $ par mois, et un niveau Enterprise exclusif disponible sur demande - preuve qu’il ne s’agit pas d’un passe-temps d’amateur.

Astuces techniques : furtivité, stéganographie et empreinte numérique

Ce qui distingue la dernière mise à jour de Rhadamanthys, ce n’est pas seulement l’ajout de nouvelles fonctionnalités, mais la manière ingénieuse dont elles sont implémentées. Le stealer collecte désormais des "empreintes" détaillées des appareils et navigateurs infectés - une façon de repérer les lieux avant le vol. Ces informations aident les attaquants à personnaliser leurs attaques et à contourner les défenses.

Peut-être le plus insidieux est l’utilisation de la stéganographie par Rhadamanthys : il dissimule ses charges utiles malveillantes dans des fichiers image PNG, WAV ou JPEG apparemment anodins. Extraire la véritable menace nécessite une clé secrète, ce qui complique la tâche des antivirus traditionnels. Le malware vérifie également s’il est observé ou testé - en comparant les images de fond d’écran et les noms d’utilisateur à ceux d’environnements sandbox connus, et ne déploie toutes ses capacités que lorsqu’il estime être en sécurité.

Pour garder une longueur d’avance sur les défenseurs, Rhadamanthys modifie en permanence l’obfuscation de son code et les noms de ses modules, et imite même certaines fonctions de malwares concurrents comme Lumma, mais avec ses propres variantes techniques. Les experts en sécurité de Check Point et Recorded Future ont suivi ces évolutions, avertissant que cette professionnalisation signifie que Rhadamanthys - et sa clientèle croissante - sont là pour durer.

Pourquoi c’est important : le business du cybercrime

Rhadamanthys est emblématique d’une tendance plus large : les malwares ne sont plus l’œuvre de hackers isolés, mais de groupes organisés et orientés business, qui vendent leurs créations à un marché mondial. Avec un branding soigné, un support client et des modèles d’abonnement, ces opérateurs brouillent la frontière entre start-up logicielle légitime et entreprise criminelle. Pour les défenseurs, cela signifie que la menace est persistante, évolutive et bien plus difficile à éradiquer.

WIKICROOK

• Malware : Un malware est un logiciel malveillant conçu pour s’infiltrer, endommager ou voler des données sur des appareils informatiques sans le consentement de l’utilisateur.
• Stéganographie : La stéganographie dissimule des messages ou du code secrets dans des fichiers courants, comme des images ou de l’audio, rendant l’information cachée difficile à détecter.
• Empreinte numérique d’appareil : L’empreinte numérique collecte des détails uniques sur votre appareil pour l’identifier ou le suivre en ligne, souvent utilisée pour la sécurité, la publicité ou contourner les contrôles de confidentialité.
• Obfuscation : L’obfuscation consiste à déguiser du code ou des données pour les rendre difficiles à comprendre, analyser ou détecter par des humains ou des outils de sécurité.
• Sandbox : Un sandbox est un environnement sécurisé et isolé où les experts analysent en toute sécurité des fichiers ou programmes suspects sans mettre en danger les systèmes ou données réels.