Il a \u00e9t\u00e9 d\u00e9couvert qu’une nouvelle campagne de publicit\u00e9 malveillante utilise de faux sites se faisant passer pour un portail d’actualit\u00e9s Windows l\u00e9gitime pour propager un programme d’installation malveillant pour un outil de profilage syst\u00e8me populaire appel\u00e9 CPU-Z.<\/p>\n
“Cet incident fait partie d’une campagne de publicit\u00e9 malveillante plus vaste qui cible d’autres utilitaires comme Notepad++, Citrix et VNC Viewer, comme le montrent son infrastructure (noms de domaine) et les mod\u00e8les de masquage utilis\u00e9s pour \u00e9viter la d\u00e9tection”, a d\u00e9clar\u00e9 J\u00e9r\u00f4me Segura de Malwarebytes. dit<\/a>.<\/p>\n Alors que les campagnes de publicit\u00e9 malveillante sont connues pour cr\u00e9er des r\u00e9pliques de sites faisant la publicit\u00e9 de logiciels largement utilis\u00e9s, la derni\u00e8re activit\u00e9 marque une d\u00e9viation dans la mesure o\u00f9 le site Web imite WindowsReport.[.]com.<\/p>\n L’objectif est de tromper les utilisateurs peu m\u00e9fiants recherchant CPU-Z sur les moteurs de recherche comme Google en diffusant des publicit\u00e9s malveillantes qui, une fois cliqu\u00e9es, les redirigent vers le faux portail (workspace-app[.]en ligne).<\/p>\n Dans le m\u00eame temps, les utilisateurs qui ne sont pas les victimes vis\u00e9es de la campagne se voient proposer un blog inoffensif contenant diff\u00e9rents articles, une technique connue sous le nom de cloaking.<\/p>\n Le programme d’installation MSI sign\u00e9 h\u00e9berg\u00e9 sur le site Web malveillant contient un script PowerShell malveillant, un chargeur connu sous le nom de FakeBat (alias EugenLoader), qui sert de canal pour d\u00e9ployer RedLine Stealer sur l’h\u00f4te compromis.<\/p>\n “Il est possible que l’auteur de la menace ait choisi de cr\u00e9er un site leurre ressemblant \u00e0 Windows Report, car de nombreux utilitaires logiciels sont souvent t\u00e9l\u00e9charg\u00e9s \u00e0 partir de ces portails au lieu de leur page Web officielle”, a not\u00e9 Segura.<\/p>\n C\u2019est loin d\u2019\u00eatre la premi\u00e8re fois que des publicit\u00e9s Google Ads trompeuses destin\u00e9es \u00e0 des logiciels populaires se r\u00e9v\u00e8lent \u00eatre un vecteur de distribution de logiciels malveillants. La semaine derni\u00e8re, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 eSentire divulgu\u00e9<\/a> les d\u00e9tails d’une campagne Nitrogen mise \u00e0 jour qui ouvre la voie \u00e0 une attaque de ransomware BlackCat.<\/p>\n Deux autres<\/a> campagnes<\/a> document\u00e9s par la soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9 montrent que le m\u00e9thode de t\u00e9l\u00e9chargement en voiture<\/a> Le fait de diriger les utilisateurs vers des sites Web douteux a \u00e9t\u00e9 exploit\u00e9 pour propager diverses familles de logiciels malveillants comme NetWire RAT, DarkGate et DanaBot au cours des derniers mois.<\/p>\n Cette \u00e9volution intervient alors que les acteurs de la menace continuent de s’appuyer de plus en plus sur les kits de phishing de type Adversary-in-the-Middle (AiTM) tels que Pages nues<\/a>, Strox<\/a>et PapaSec<\/a> pour contourner l’authentification multifacteur et d\u00e9tourner des comptes cibl\u00e9s.<\/p>\n Pour couronner le tout, eSentire a \u00e9galement attir\u00e9 l’attention sur une nouvelle m\u00e9thode baptis\u00e9e attaque Wiki-Slack, une attaque dirig\u00e9e par l’utilisateur qui vise \u00e0 diriger les victimes vers un site Web contr\u00f4l\u00e9 par un attaquant en d\u00e9gradant la fin du premier paragraphe d’un article Wikip\u00e9dia et en le partageant. sur Slack.<\/p>\n Plus pr\u00e9cis\u00e9ment, il exploite une bizarrerie de Slack qui \u00ab g\u00e8re mal[s] l’espace entre le premier et le deuxi\u00e8me paragraphe” pour g\u00e9n\u00e9rer automatiquement un lien lorsque l’URL Wikip\u00e9dia est rendu en aper\u00e7u<\/a> dans la plateforme de messagerie d’entreprise.<\/p>\n Il convient de souligner qu’une condition pr\u00e9alable essentielle pour mener \u00e0 bien cette attaque est que le premier mot du deuxi\u00e8me paragraphe de l’article Wikip\u00e9dia doit \u00eatre un domaine de premier niveau (par exemple, in, at, com ou net) et que les deux paragraphes doit appara\u00eetre dans les 100 premiers mots de l\u2019article.<\/p>\n Avec ces restrictions, une menace pourrait militariser ce comportement de telle sorte que la fa\u00e7on dont Slack formate les r\u00e9sultats de l’aper\u00e7u de la page partag\u00e9e pointe vers un lien malveillant qui, en cliquant, am\u00e8ne la victime vers un site pi\u00e9g\u00e9.<\/p>\n “Si l’on ne dispose pas de garde-fous \u00e9thiques, on peut augmenter la surface d’attaque de l’attaque Wiki-Slack en \u00e9ditant les pages Wikip\u00e9dia int\u00e9ressantes pour la d\u00e9grader”, eSentire dit<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Une-nouvelle-campagne-de-publicite-malveillante-utilise-un-faux-portail.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n