Les acteurs vietnamiens \u00e0 l’origine du malware Ducktail Steerer ont \u00e9t\u00e9 associ\u00e9s \u00e0 une nouvelle campagne qui s’est d\u00e9roul\u00e9e entre mars et d\u00e9but octobre 2023, ciblant les professionnels du marketing en Inde dans le but de d\u00e9tourner des comptes professionnels Facebook.<\/p>\n
“Une caract\u00e9ristique importante qui la distingue est que, contrairement aux campagnes pr\u00e9c\u00e9dentes, qui reposaient sur des applications .NET, celle-ci utilisait Delphi comme langage de programmation”, Kaspersky dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Queue de canard<\/a>aux c\u00f4t\u00e9s de Duckport et NodeStealer, fait partie d’un \u00e9cosyst\u00e8me de cybercriminalit\u00e9 op\u00e9rant depuis le Vietnam, les attaquants utilisant principalement des publicit\u00e9s sponsoris\u00e9es sur Facebook pour propager des publicit\u00e9s malveillantes et d\u00e9ployer des logiciels malveillants capables de piller les cookies de connexion des victimes et finalement de prendre le contr\u00f4le de leurs comptes.<\/p>\n De telles attaques ciblent principalement les utilisateurs susceptibles d\u2019avoir acc\u00e8s \u00e0 un compte Facebook Business. Les fraudeurs utilisent ensuite cet acc\u00e8s non autoris\u00e9 pour placer des publicit\u00e9s \u00e0 des fins financi\u00e8res, perp\u00e9tuant ainsi les infections.<\/p>\n Dans la campagne document\u00e9e par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, des cibles potentielles \u00e0 la recherche d’un changement de carri\u00e8re re\u00e7oivent des fichiers d’archives contenant un ex\u00e9cutable malveillant masqu\u00e9 par une ic\u00f4ne PDF pour les inciter \u00e0 lancer le binaire.<\/p>\n Cela entra\u00eene l’enregistrement par le fichier malveillant d’un script PowerShell nomm\u00e9 param.ps1 et d’un document PDF leurre localement dans le dossier \u00ab C:UsersPublic \u00bb de Windows.<\/p>\n “Le script utilise la visionneuse PDF par d\u00e9faut de l’appareil pour ouvrir le leurre, fait une pause de cinq minutes, puis met fin au processus du navigateur Chrome”, a d\u00e9clar\u00e9 Kaspersky.<\/p>\n L’ex\u00e9cutable parent t\u00e9l\u00e9charge et lance \u00e9galement une biblioth\u00e8que malveillante nomm\u00e9e libEGL.dll, qui analyse les fichiers “C:ProgramDataMicrosoftWindowsStart MenuPrograms” et “C:ProgramDataMicrosoftInternet ExplorerQuick LaunchUser Pinned”. TaskBar” pour tout raccourci (c’est-\u00e0-dire, fichier LNK) vers un navigateur Web bas\u00e9 sur Chromium.<\/p>\n L’\u00e9tape suivante consiste \u00e0 modifier le fichier de raccourci LNK du navigateur en suffixant un commutateur de ligne de commande “–load-extension” pour lancer une extension malveillante qui se fait passer pour l’extension l\u00e9gitime. Module compl\u00e9mentaire Google Docs hors ligne<\/a> passer sous le radar.<\/p>\n L’extension, quant \u00e0 elle, est con\u00e7ue pour envoyer des informations sur tous les onglets ouverts \u00e0 un serveur contr\u00f4l\u00e9 par un acteur enregistr\u00e9 au Vietnam et d\u00e9tourner les comptes professionnels Facebook.<\/p>\n Les r\u00e9sultats soulignent un changement strat\u00e9gique dans les techniques d’attaque de Ducktail et surviennent alors que Google a d\u00e9pos\u00e9 une plainte<\/a> contre trois individus inconnus en Inde et au Vietnam pour avoir capitalis\u00e9 sur l’int\u00e9r\u00eat du public pour les outils d’IA g\u00e9n\u00e9rative tels que Bard pour diffuser des logiciels malveillants via Facebook et voler les identifiants de connexion aux r\u00e9seaux sociaux.<\/p>\n “Les accus\u00e9s diffusent des liens vers leurs logiciels malveillants via des publications sur les r\u00e9seaux sociaux, des publicit\u00e9s (c’est-\u00e0-dire, sponsoris\u00e9<\/a> des postes<\/a>), et des pages, dont chacune pr\u00e9tend proposer des versions t\u00e9l\u00e9chargeables de Bard ou d’autres produits Google AI”, la soci\u00e9t\u00e9 all\u00e9gu\u00e9<\/a> dans sa plainte.<\/p>\n “Lorsqu’un utilisateur connect\u00e9 \u00e0 un compte de r\u00e9seau social clique sur les liens affich\u00e9s dans les publicit\u00e9s des accus\u00e9s ou sur leurs pages, les liens redirigent vers un site Web externe \u00e0 partir duquel une archive RAR, un type de fichier, est t\u00e9l\u00e9charg\u00e9e sur l’ordinateur de l’utilisateur.”<\/p>\n Les fichiers d’archive incluent un fichier d’installation capable d’installer une extension de navigateur capable de voler les comptes de r\u00e9seaux sociaux des victimes.<\/p>\n Plus t\u00f4t en mai, Meta a d\u00e9clar\u00e9 avoir observ\u00e9 des acteurs malveillants cr\u00e9er des extensions de navigateur trompeuses disponibles dans les magasins en ligne officiels qui pr\u00e9tendent offrir des outils li\u00e9s \u00e0 ChatGPT et avoir d\u00e9tect\u00e9 et bloqu\u00e9 le partage de plus de 1 000 URL uniques entre ses services.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Des-pirates-vietnamiens-utilisent-un-nouveau-logiciel-malveillant-base-sur.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\nGoogle poursuit les fraudeurs pour avoir utilis\u00e9 des leurres Bard pour propager des logiciels malveillants<\/h2>\n
<\/a><\/center><\/div>\n