Des acteurs malveillants ont \u00e9t\u00e9 observ\u00e9s tirant parti d’une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans Microsoft Windows pour d\u00e9ployer un voleur d’informations open source appel\u00e9 Voleur de Ph\u00e9m\u00e9drone<\/strong>.<\/p>\n “Phemadrone cible les navigateurs Web et les donn\u00e9es des portefeuilles de crypto-monnaie et des applications de messagerie telles que Telegram, Steam et Discord”, ont d\u00e9clar\u00e9 Peter Girnus, Aliakbar Zahravi et Simon Zuckerbraun, chercheurs de Trend Micro. dit<\/a>.<\/p>\n “Il prend \u00e9galement des captures d’\u00e9cran et rassemble des informations syst\u00e8me concernant le mat\u00e9riel, l’emplacement et les d\u00e9tails du syst\u00e8me d’exploitation. Les donn\u00e9es vol\u00e9es sont ensuite envoy\u00e9es aux attaquants via Telegram ou leur serveur de commande et de contr\u00f4le (C&C).”<\/p>\n L\u2019effet de levier des attaques CVE-2023-36025<\/a> (score CVSS : 8,8), une vuln\u00e9rabilit\u00e9 de contournement de s\u00e9curit\u00e9 dans Windows SmartScreen, qui pourrait \u00eatre exploit\u00e9e en incitant un utilisateur \u00e0 cliquer sur un raccourci Internet sp\u00e9cialement con\u00e7u (.URL) ou sur un lien hypertexte pointant vers un fichier de raccourci Internet.<\/p>\n La lacune activement exploit\u00e9e a \u00e9t\u00e9 corrig\u00e9e par Microsoft dans le cadre de ses mises \u00e0 jour du Patch Tuesday de novembre 2023.<\/p>\n Le processus d’infection implique que l’acteur malveillant h\u00e9berge des fichiers de raccourci Internet malveillants sur Discord ou des services cloud comme FileTransfer.io, les liens \u00e9tant \u00e9galement masqu\u00e9s \u00e0 l’aide de raccourcisseurs d’URL tels que URL courte<\/a>.<\/p>\n L’ex\u00e9cution du fichier .URL pi\u00e9g\u00e9 lui permet de se connecter \u00e0 un serveur contr\u00f4l\u00e9 par un acteur et d’ex\u00e9cuter un fichier du panneau de configuration (.CPL) d’une mani\u00e8re qui contourne Windows Defender SmartScreen en tirant parti de CVE-2023-36025.<\/p>\n “Lorsque le fichier .CPL malveillant est ex\u00e9cut\u00e9 via le binaire du processus du Panneau de configuration Windows, il appelle \u00e0 son tour rundll32.exe pour ex\u00e9cuter la DLL”, ont indiqu\u00e9 les chercheurs. “Cette DLL malveillante agit comme un chargeur qui appelle ensuite Windows PowerShell pour t\u00e9l\u00e9charger et ex\u00e9cuter la prochaine \u00e9tape de l’attaque, h\u00e9berg\u00e9e sur GitHub.”<\/p>\n La charge utile suivante est un chargeur PowerShell (\u00ab DATA3.txt \u00bb) qui fait office de rampe de lancement pour Donut, un chargeur de shellcode open source qui d\u00e9chiffre et ex\u00e9cute Phemadrone Stealer.<\/p>\n \u00c9crit en C#, Phemadrone Stealer est activement maintenu par ses d\u00e9veloppeurs sur GitHub<\/a> et T\u00e9l\u00e9gramme<\/a>facilitant le vol d’informations sensibles \u00e0 partir de syst\u00e8mes compromis.<\/p>\n Cette \u00e9volution est une fois de plus le signe que les acteurs de la menace deviennent de plus en plus flexibles et adaptent rapidement leurs cha\u00eenes d’attaque pour tirer parti des exploits r\u00e9cemment r\u00e9v\u00e9l\u00e9s et infliger un maximum de d\u00e9g\u00e2ts.<\/p>\n “Malgr\u00e9 les correctifs, les acteurs malveillants continuent de trouver des moyens d’exploiter CVE-2023-36025 et d’\u00e9chapper aux protections Windows Defender SmartScreen pour infecter les utilisateurs avec une pl\u00e9thore de types de logiciels malveillants, notamment des ransomwares et des voleurs comme Phhemedrone Stealer”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Les-pirates-exploitent-une-faille-de-Windows-pour-deployer-un.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n