Matsnu peut permettre à des pirates de lancer des commandes sur votre PC et d’y installer d’autres logiciels malveillants. Documentée depuis au moins 2011, cette famille de chevaux de Troie montre pourquoi une infection peut aller bien plus loin que le fichier repéré par l’antivirus.
C’est quoi Matsnu ?
Matsnu vise les ordinateurs sous Windows. Il peut servir de téléchargeur de logiciels malveillants (Downloader) et ouvrir une porte dérobée (Backdoor), autrement dit un accès permettant aux attaquants de donner des instructions à la machine.
Une fois installé, il peut donc recevoir de nouvelles consignes et récupérer d’autres programmes. Pour l’utilisateur, le risque dépend aussi de ce que les pirates décident d’envoyer ensuite.
Vous pouvez également rencontrer le nom Trustezeb dans les analyses et les détections antivirus. Les appellations varient selon les éditeurs et les variantes étudiées.
Le piège de la fausse facture
Des campagnes analysées en 2015 visaient notamment des internautes germanophones avec des e-mails annonçant une facture impayée ou un prélèvement refusé. Les expéditeurs se faisaient passer pour des entreprises ou des représentants chargés du recouvrement.
Le message pouvait même reprendre le nom de la victime. Forcément, une relance qui vous appelle par votre nom semble plus crédible qu’un spam envoyé au hasard.
La pièce jointe contenait des archives ZIP imbriquées, puis un fichier exécutable. Le danger venait du lancement de ce programme, présenté comme un document à consulter.
Une facture inattendue vous inquiète ? Vérifiez directement auprès de l’entreprise en utilisant ses coordonnées habituelles. Le nom affiché dans l’e-mail ne suffit pas à prouver qui l’a envoyé.
Ce qu’il peut faire sur votre PC
Les variantes documentées peuvent recevoir l’ordre de prendre des captures d’écran, d’exécuter des commandes, de se mettre à jour ou de supprimer des fichiers système. Certaines modifications permettent aussi au programme de se relancer au démarrage de Windows.
Les anciennes analyses décrivent également des blocages d’outils comme l’éditeur du registre et, sur Windows XP, le Gestionnaire des tâches. Ces comportements dépendent de la variante et du système concerné.
Le vrai problème, c’est aussi ce qui a pu être installé après l’infection initiale. Supprimer Matsnu ne permet pas, à lui seul, de conclure que tous les autres programmes malveillants ont disparu. Il faut examiner l’ensemble du PC.
Pourquoi il change d’adresse
Pour recevoir ses instructions, le malware doit retrouver un serveur de commande et de contrôle (C2). Matsnu dispose notamment d’un algorithme de génération de noms de domaine (DGA).
Le principe est assez simple : il calcule des noms de domaine que les pirates peuvent enregistrer pour communiquer avec les machines infectées.
Sa particularité est d’utiliser des dictionnaires de mots. Les adresses produites peuvent donc ressembler à des assemblages de mots ordinaires, ce qui complique certaines méthodes de détection fondées sur leur apparence.
Du coup, bloquer une adresse connue ne suffit pas forcément. Le malware peut essayer d’en contacter d’autres. Ce mécanisme sert à maintenir les communications lorsque des domaines sont bloqués ou fermés.
Peut-il aussi chiffrer vos fichiers ?
Des infections identifiées sous les noms Matsnu ou Trustezeb ont aussi été associées au chiffrement de fichiers et à des demandes de paiement. Parmi les symptômes documentés figurent des fichiers dont le nom commence par « locked- ».
Cela concerne des cas précis : une détection Matsnu ne signifie pas automatiquement que vos documents sont chiffrés.
Un outil de déchiffrement ESET existe pour certains cas Trustezeb.A/Matsnu. Son efficacité dépend de l’infection concernée et des conditions précisées par l’éditeur. Faites identifier la variante et conservez une copie des fichiers chiffrés avant toute tentative de récupération.
Que faire si votre antivirus détecte Matsnu ?
Commencez par noter le nom complet de la détection et le fichier concerné. Ne désactivez pas votre protection pour lancer le programme signalé.
Si une infection est suspectée ou confirmée, déconnectez le PC d’Internet et du réseau local. Évitez d’y consulter votre banque ou d’y saisir des mots de passe. Sur un ordinateur professionnel, prévenez immédiatement le service informatique.
Lancez une analyse complète avec un antivirus à jour et appliquez les mesures de quarantaine ou de suppression proposées. Si des comptes ont pu être compromis, changez leurs mots de passe depuis un autre appareil sain.
Si les alertes reviennent ou que Windows reste perturbé, faites-vous accompagner. Certaines modifications du système peuvent subsister après la suppression du malware.
Pour éviter de revivre ça, gardez Windows et vos applications à jour, vérifiez les pièces jointes inattendues et faites des sauvegardes régulières, dont une copie déconnectée du PC.