Une campagne de piratage construite autour d’une fausse version de Xeno, un exécuteur de scripts très utilisé par les joueurs de Roblox, a été repérée. Le faux logiciel installe un programme espion capable de voler des comptes Discord, Roblox et Minecraft, ainsi que des portefeuilles de cryptomonnaies et des données bancaires.
Pour les moins de vingt ans qui entament la lecture de cet article, vous pouvez directement passer au paragraphe suivant. Pour les autres, Xeno sert à automatiser des actions et à lancer des scripts personnalisés dans Roblox, une pratique interdite par l’éditeur du jeu mais recherchée par des joueurs en quête d’un avantage. Comme tout ce qui est interdit est rare et donc recherché, Xeno est bien sûr détourné par des cybercriminels.
Sur des forums de jeu et des serveurs Discord, ils diffusent une version prétendument « indétectable » de l’outil. Une fois lancé, ce faux exécuteur installe en fait un programme espion en trois étapes. On n’est plus du tout dans le simple vol de mot de passe puisqu’il espionne également l’écran et le clavier de la victime, en plus des comptes de jeu et des portefeuilles numériques. Pour vous donner une idée des risques et conséquences, si un enfant télécharge ce type d’outil pour tricher, il expose tout l’ordinateur familial.
L’archive piégée reproduit une vraie installation de Xeno
L’archive a la même arborescence qu’une vraie installation de Xeno. Certains fichiers proviennent réellement du logiciel authentique. D’autres, comme l’image RbxAnalytics.png, ne contiennent que quelques octets de données inutiles. Les pirates propagent ces archives par des forums de jeu et des serveurs Discord, ou par des comptes piratés et usurpés.
La victime lance ensuite xeno.exe, en pensant démarrer l’outil de triche. Ce premier programme installe discrètement un environnement Java, puis lance un second fichier déguisé en decompiler.exe. Avant son lancement, ce second fichier vérifie l’absence d’outils d’analyse et interroge deux services en ligne pour situer géographiquement la victime. Il utilise cette localisation pour générer un identifiant unique propre à chaque machine infectée. Le programme contacte alors un serveur pirate et télécharge la charge finale dans le dossier %LOCALAPPDATA%\Microsoft\GameDVR, un emplacement associé à la barre de jeu de Windows. Le fichier prend le nom d’une DLL système et ajoute une entrée dans le registre Windows sous l’appellation trompeuse « Display Calibration », pour redémarrer automatiquement à chaque ouverture de session.
Une équipe de ThreatLocker, une autre entreprise de cybersécurité, avait repéré une partie de cette infrastructure sous le nom Powercat. Bitdefender a identifié de nouveaux serveurs de commande et de nouvelles fonctions, preuve que les pirates continuent de faire évoluer leur outil.
Le logiciel espion filme la victime et vide ses portefeuilles numériques
Dans cette troisième étape, le programme peut enregistrer chaque frappe du clavier et capturer des images de l’écran toutes les 500 millisecondes. Le pirate peut aussi regarder par la webcam de l’ordinateur ou diffuser en direct le bureau de la victime. Une console PowerShell lui donne, en plus, un accès direct au système, sans que la victime le remarque.
Pour le portefeuille de cryptomonnaies Exodus, le programme modifie directement les fichiers de l’application. Il insère deux courts scripts dans ces fichiers, puis journalise les échanges dans un fichier caché avant de les transmettre au serveur pirate. Idem pour les navigateurs Chrome, Edge, Brave, Opera et Vivaldi avec les cookies et jetons de connexion, tandis que le programme récupère les comptes Discord, Roblox et Minecraft par le même procédé.
On en parlait au début, mais Roblox est un des jeux favoris des adolescents, souvent mineurs qui aura été installé sur l'ordinateur familial. De fait, il a plus de risques de télécharger ce malware et mettre en danger les données de toute la famille. Les parents peuvent perdre l’accès à leur banque en ligne ou à leur portefeuille crypto en quelques clics. Un des antivirus de notre comparatif, accessible à la fin de cet article, peut, en étant à jour, repérer certains de ces fichiers avant leur exécution, mais Bitdefender recommande surtout d’éviter tout exécuteur ou triche qui se prétend « indétectable » et distribué par un forum ou un message Discord non sollicité. L’entreprise conseille aussi aux parents de parler de ce type d’arnaque avec les plus jeunes joueurs.
