Les autorités chargées de l’application des lois ont annoncé qu’ils avaient retrouvé les clients du malware Smokeloader et détenu au moins cinq personnes.
“Dans un Série d’actions coordonnéesles clients du botnet SmokeLoader Pay-per-install, exploité par l’acteur connu sous le nom de “ Superstar ”, ont été confrontés à des conséquences telles que des arrestations, des perquisitions de maisons, des mandats d’arrêt ou des «coups et des pourparlers», «Europol dit dans une déclaration.
Superstar aurait exécuté un service de paiement à l’installation qui a permis à ses clients d’obtenir un accès non autorisé aux machines de victime, en utilisant le chargeur comme conduit pour déployer des charges utiles de leur choix.
Selon l’agence européenne de l’application des lois, l’accès accordé par le botnet a été utilisé à diverses fins tels que le keylogging, l’accès à la webcam, le déploiement des ransomwares et l’exploitation des crypto-monnaies.
La dernière action, qui fait partie d’un exercice coordonné en cours appelé Operation Endgame, qui a conduit au démantèlement des infrastructures en ligne associées à plusieurs opérations de chargeur de logiciels malveillants comme IceDID, SystemBC, Pikabot, SmokeLoader, Bumblebee et TrickBot l’année dernière.
Le Canada, la République tchèque, le Danemark, la France, l’Allemagne, les Pays-Bas et les États-Unis ont participé à l’effort de suivi qui vise à se concentrer sur le «côté de la demande» de l’écosystème de cybercriminalité.
Les autorités, par Europol, ont retrouvé les clients inscrits dans une base de données qui a été précédemment saisie, reliant leurs personnages en ligne à des individus réels et les appelant à des questions. Un nombre non spécifié de suspects aurait choisi de coopérer et de faire examiner leurs appareils personnels pour collecter des preuves numériques.
“Plusieurs suspects ont répondu aux services achetés auprès de SmokeLoader lors d’un balisage, ajoutant ainsi une couche supplémentaire d’intérêt à l’enquête”, a déclaré Europol. “Certains suspects avaient supposé qu’ils ne faisaient plus sur le radar de l’application des lois, pour se rendre à la durement réalisé qu’ils étaient toujours ciblés.”
Les chargeurs de logiciels malveillants se présentent sous différentes formes
Le développement vient sous le nom de symantec appartenant à Broadcom révélé Détails d’une campagne de phishing qui utilise le format de fichier Scrasse-Screensaver (SCR) Windows pour distribuer un chargeur de logiciel malveillant basé à Delphi nommé Modiloader (aka dbatloader et natsoloader) sur les machines des victimes.
Il coïncide également avec une campagne Web évasive qui incite les utilisateurs à exécuter des fichiers d’installation Windows malveillants (MSI) pour déployer un autre logiciel malveillant de chargeur appelé Légion Loader.
“Cette campagne utilise une méthode appelée ‘coller«ou« détournement de presse-papiers »parce que les téléspectateurs sont invités à coller le contenu dans une fenêtre d’exécution,« Unité Palo Alto Networks 42 ditl’ajout exploite plusieurs stratégies de masquage pour échapper à la détection à travers les pages CAPTCHA et à déguiser les pages de téléchargement de logiciels malveillants en tant que sites de blog.
Les campagnes de phishing ont également été un véhicule de livraison pour KOI Loader, qui est ensuite utilisé pour télécharger et exécuter un voleur d’informations appelé KOI Stealer dans le cadre d’une séquence d’infection à plusieurs étapes.
“L’utilisation des capacités anti-VM par des logiciels malveillants comme Koi Loader et Koi Stealer met en évidence la capacité des menaces modernes d’échapper à l’analyse et à la détection par les analystes, les chercheurs et les bacs de sable”, Esentire dit Dans un rapport publié le mois dernier.
Et ce n’est pas tout. Les derniers mois ont encore une fois témoin Le retour de Gootloader (alias SlowPour), qui est diffusé via des résultats de recherche parrainés sur Google, une technique repérée début novembre 2024.
L’attaque cible les utilisateurs à la recherche de “modèle d’accord de non-divulgation” sur Google pour diffuser des annonces de faux[.]com “) où ils sont invités à saisir leurs adresses e-mail pour recevoir le document.
“Peu de temps après avoir saisi leur e-mail, ils recevront un e-mail de Lawyer @ SKHM[.]Org, avec un lien vers leur document Word demandé (DOCX), “Selon un chercheur en sécurité qui porte le nom de Gootloader et a surveillé étroitement le chargeur de logiciels malveillants pendant plusieurs années.
“Si l’utilisateur a passé toutes ses portes, il téléchargera un fichier JavaScript zippé.
Un téléchargeur JavaScript connu sous le nom de FakeUpdates (aka SocGholish) qui se propage généralement via des stratagèmes d’ingénierie sociale qui trompe les utilisateurs d’installation du malware en déguisant une mise à jour légitime pour les navigateurs Web comme Google Chrome.
“Les attaquants distribuent des logiciels malveillants en utilisant des ressources compromises, injectant un JavaScript malveillant en sites vulnérables aux hôtes d’empreintes digitales, effectuez des vérifications d’admissibilité et affichez de fausses pages de mise à jour”, Google dit. “Le logiciel malveillant est généralement livré via des téléchargements de lecteur. Le malveillant JavaScript agit comme un téléchargeur, offrant des logiciels malveillants supplémentaires.”
Le faux parcours d’attaque de mise à jour du navigateur a également été observé en distribuant deux autres familles de logiciels malveillants JavaScript appelés FakesMuggs, qui porte le nom de l’utilisation de la contrebande de HTML pour fournir des charges utiles à la prochaine étape telles que le gestionnaire de netsupport, et l’envoi d’informations de base de l’hôte.