Maliciel : à la découverte de Pikabot

C’est début février 2023 que Pikabot est documenté pour la première fois. Ce logiciel malveillant est alors identifié à l’occasion de campagnes de distribution rappelant Qakbot. 

Pikabot est scindé en deux parties : un loader et un composant principal. Le loader permet, comme son nom l’indique, de charger d’autres maliciels, tandis que le composant principal embarque les fonctionnalités principales, à commencer par celles qui assurent la communication avec les serveurs de commande et de contrôle (C2). 

Pikabot met à profit de nombreuses capacités de furtivité, multipliant les fonctions visant à rendre difficile sa rétro-ingénierie, voire sa simple exécution – et analyse – en machine virtuelle. Les premiers examens faisaient déjà état de plus d’une vingtaine de fonctions dédiées à cette furtivité. Le composant principal est lui-même encodé dans des images PNG. 

Comme d’autres avant lui, rappelant notamment certaines habitudes des cybercriminels spécialistes du ransomware, Pikabot s’interdit de compromettre des systèmes dont les réglages suggèrent un lien avec les pays proches de la Russie. 

Rapidement, les liens avec un autre maliciel comparable sont mis en lumière : Matanbuchus. Sophos explique ainsi que « tous deux sont écrits en C/C++, utilisent une séparation chargeur/composant de base, emploient JSON+Base64+crypto pour le trafic et utilisent largement des chaînes codées en dur. Ces similitudes laissent entrevoir un lien potentiel entre les deux familles de logiciels malveillants ».