Il a \u00e9t\u00e9 d\u00e9couvert qu’une nouvelle variante du malware GootLoader, appel\u00e9e GootBot, facilite les mouvements lat\u00e9raux sur les syst\u00e8mes compromis et \u00e9chappe \u00e0 la d\u00e9tection.<\/p>\n
“L’introduction par le groupe GootLoader de son propre bot personnalis\u00e9 dans les derni\u00e8res \u00e9tapes de sa cha\u00eene d’attaque est une tentative d’\u00e9viter les d\u00e9tections lors de l’utilisation d’outils disponibles dans le commerce pour C2 tels que CobaltStrike ou RDP”, ont d\u00e9clar\u00e9 Golo M\u00fchr et Ole, chercheurs d’IBM X-Force. Villadsen dit<\/a>.<\/p>\n “Cette nouvelle variante est un malware l\u00e9ger mais efficace qui permet aux attaquants de se propager rapidement sur le r\u00e9seau et de d\u00e9ployer d’autres charges utiles.”<\/p>\n GootLoader, comme son nom l’indique, est un malware capable de t\u00e9l\u00e9charger un malware de niveau sup\u00e9rieur apr\u00e8s avoir attir\u00e9 des victimes potentielles \u00e0 l’aide de tactiques d’empoisonnement d’optimisation des moteurs de recherche (SEO). Il est li\u00e9 \u00e0 un acteur mena\u00e7ant suivi sous le nom de Hive0127 (alias UNC2565).<\/p>\n L’utilisation de GootBot indique un changement tactique, avec l’implant t\u00e9l\u00e9charg\u00e9 en tant que charge utile apr\u00e8s une infection par Gootloader au lieu de frameworks post-exploitation tels que CobaltStrike. \u00bb<\/p>\n D\u00e9crit comme un script PowerShell obscurci, GootBot est con\u00e7u pour se connecter \u00e0 un site WordPress compromis \u00e0 des fins de commande et de contr\u00f4le et recevoir d’autres commandes.<\/p>\n L’utilisation d’un serveur C2 cod\u00e9 en dur unique pour chaque \u00e9chantillon GootBot d\u00e9pos\u00e9 complique encore les choses, ce qui rend difficile le blocage du trafic malveillant.<\/p>\n \u00ab\u00a0Les campagnes actuellement observ\u00e9es exploitent des recherches empoisonn\u00e9es par le r\u00e9f\u00e9rencement sur des th\u00e8mes tels que des contrats, des formulaires juridiques ou d’autres documents li\u00e9s \u00e0 l’entreprise, dirigeant les victimes vers des sites compromis con\u00e7us pour ressembler \u00e0 des forums l\u00e9gitimes o\u00f9 elles sont amen\u00e9es \u00e0 t\u00e9l\u00e9charger la charge utile initiale sous forme de fichier d’archive. “, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Le fichier d’archive int\u00e8gre un fichier JavaScript masqu\u00e9 qui, lors de son ex\u00e9cution, r\u00e9cup\u00e8re un autre fichier JavaScript d\u00e9clench\u00e9 via une t\u00e2che planifi\u00e9e pour assurer la persistance.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/La-nouvelle-variante-du-logiciel-malveillant-GootLoader-echappe-a-la.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n