Mahdi, le successeur de Stuxnet, Duqu et Flame fait son apparition en Iran

Mahdi, dis moi tout

Le malware Mahdi fait donc son entrée dans la liste des malwares géolocalisés dans le Moyen-Orient. Cette découverte a eu lieu retrospectivement il y a quelques mois de cela, mais n’a pas été annoncé officiellement afin que les épidémiologistes puissent analyser son action et notamment le trafic qui émanait du trojan jusqu’au serveur. Moins d’un millier de personnes ont été touchés, plus particulièrement des hommes d’affaires et étudiants iraniens. Travaillant dans des domaines dits sensibles, ces victimes travaillent pour le gouvernement, des sociétés d’ingénierie ou au cœur d’organismes financiers. Pendant plusieurs mois, ces personnes auraient à leur insu envoyé des informations à une entité encore inconnue.

Mahdi, un « sauveur » au pied d’argile

Apparemment conçu par des développeurs moins aguerris que ceux de Flame, ce cheval de Troie prenait la forme d’un document Powerpoint, niché dans un email similaire à ce qui se fait en matière de spam. Une méthode de diffusion encore efficace, mais étonnante dans le sens où elle est antédiluvienne et facilement contournable avec un antivirus à jour.

Les serveurs, dont un basé à Téhéran, n’ont pas livré tous leurs secrets, mais le code source s’est avéré riche en informations. La qualité de celui-ci s’est avéré étrangement inférieur aux attentes des chercheurs et bizarrement mal optimisé. En revanche, si les hommes derrière la malware ont bénéficié de moyens importants, l’origine étatique semble peu plausible, en raison du manque de finition et du manque d’envergure du programme.

L’action de Mahdi est principalement d’espionner l’activité des victimes, notamment sur les réseaux sociaux, les logiciels de communication comme Skype ou Windows Live Messenger et d’envoyer des données au centre de commande. Israël, touché également mais dans une moindre mesure, ne se cacherait pas derrière ce trojan…

Source: Seculert Blog