[INFO] Des hackers prennent le contrôle du botnet Dridex pour distribuer l’antivirus Avira

D’après plusieurs sources, un hacker « bienveillant » s’en est pris aux criminels il y a quelques jours seulement. Ce dernier, dont l’identité n’est pas connue, a réussi à prendre le contrôle du serveur depuis lequel était téléchargé le malware, afin de le remplacer par le programme permettant d’installer l’antivirus Avira.

Afin d’offrir une protection supplémentaire aux potentielles victimes, ce « gentil » pirate s’appuie sur l’infrastructure des auteurs du malwares pour distribuer l’antivirus, mais il profite également des infrastructures de diffusion du malware puisque le déclenchement de l’installation de l’antivirus reste l’ouverture du document Word placé en pièce jointe du spam envoyé massivement aux internautes.

Le processus d’installation est donc similaire à celui de la compromission du poste de la victime. Cette dernière reçoit un email de type spam, l’ouvre pour le lire, puis ouvre la pièce jointe qu’il contient. Cette pièce jointe intègre une macro permettant de télécharger l’antivirus (en lieu et place du malware), et de démarrer le processus d’installation.

L’éditeur Avira a confirmé ne pas être à l’origine de cette « attaque » ayant ciblé les criminels. La société ne sait pas non plus pourquoi son logiciel a été retenu pour être diffusé de la sorte. Ce n’est cependant pas la première fois qu’Avira est utilisé conjointement avec un malware. Les auteurs de Cryptolocker et de Tesla avaient également vu leur outil utilisé par des pirates bienveillants pour diffuser l’antivirus Avira.