Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9tect\u00e9 dans la nature une autre variante de la famille des ransomwares Phobos connue sous le nom de Faust<\/strong>.<\/p>\n Fortinet FortiGuard Labs, qui a d\u00e9taill\u00e9 la derni\u00e8re it\u00e9ration du ransomware, a d\u00e9clar\u00e9 qu’il se propage au moyen d’une infection qui d\u00e9livre un document Microsoft Excel (.XLAM) contenant un script VBA.<\/p>\n “Les attaquants ont utilis\u00e9 le service Gitea pour stocker plusieurs fichiers cod\u00e9s en Base64, chacun contenant un binaire malveillant”, a d\u00e9clar\u00e9 la chercheuse en s\u00e9curit\u00e9 Cara Lin. dit<\/a> dans un rapport technique publi\u00e9 la semaine derni\u00e8re. “Lorsque ces fichiers sont inject\u00e9s dans la m\u00e9moire d’un syst\u00e8me, ils lancent une attaque de chiffrement de fichiers.”<\/p>\n Faust est le dernier ajout \u00e0 plusieurs variantes de ransomware de la famille Phobos, notamment Eking, Eight, Elbie, Devos et 8Base. Il convient de noter que Faust a d\u00e9j\u00e0 \u00e9t\u00e9 document\u00e9 par Cisco Talos en novembre 2023.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9crit la variante comme active depuis 2022 et \u00ab ne cible pas des industries ou des r\u00e9gions sp\u00e9cifiques \u00bb.<\/p>\n La cha\u00eene d’attaque commence par un document XLAM qui, une fois ouvert, t\u00e9l\u00e9charge des donn\u00e9es cod\u00e9es en Base64 depuis Gitea afin de sauvegarder un fichier XLSX inoffensif, tout en r\u00e9cup\u00e9rant furtivement un ex\u00e9cutable qui se fait passer pour un programme de mise \u00e0 jour du logiciel AVG AntiVirus (\u00ab AVG updater. exe”).<\/p>\n Le binaire, pour sa part, fonctionne comme un t\u00e9l\u00e9chargeur pour r\u00e9cup\u00e9rer et lancer un autre ex\u00e9cutable nomm\u00e9 \u00ab SmartScreen Defender Windows.exe \u00bb afin de relancer son processus de cryptage en employant une attaque sans fichier pour d\u00e9ployer le shellcode malveillant.<\/p>\n “La variante Faust pr\u00e9sente la capacit\u00e9 de maintenir la persistance dans un environnement et de cr\u00e9er plusieurs threads pour une ex\u00e9cution efficace”, a d\u00e9clar\u00e9 Lin.<\/p>\n Ce d\u00e9veloppement intervient alors que de nouvelles familles de ransomwares telles que Albabat<\/a> (alias White Bat), Kasseika, Kuiper<\/a>, Mimus<\/a>et SANS NOM<\/a> ont gagn\u00e9 du terrain, le premier \u00e9tant un malware bas\u00e9 sur Rust distribu\u00e9 sous la forme de logiciels frauduleux tels qu’un faux outil d’activation num\u00e9rique de Windows 10 et un programme de triche pour le jeu Counter-Strike 2.<\/p>\n Trellix, qui a examin\u00e9 les versions Windows, Linux et macOS de Kuiper plus t\u00f4t ce mois-ci, a attribu\u00e9 le ransomware bas\u00e9 sur Golang \u00e0 un acteur malveillant nomm\u00e9 RobinHood, qui en a fait la premi\u00e8re publicit\u00e9 sur des forums clandestins en septembre 2023.<\/p>\n “La nature ax\u00e9e sur la concurrence de Golang profite ici \u00e0 l’acteur malveillant, en \u00e9vitant les conditions de concurrence et d’autres probl\u00e8mes courants lorsqu’il s’agit de plusieurs threads, ce qui aurait autrement \u00e9t\u00e9 une (presque) certitude”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Max Kersten. dit<\/a>.<\/p>\n \u00ab Un autre facteur exploit\u00e9 par le ransomware Kuiper, qui explique \u00e9galement la popularit\u00e9 croissante de Golang, sont les capacit\u00e9s multiplateformes du langage pour cr\u00e9er des builds pour une vari\u00e9t\u00e9 de plates-formes. Cette flexibilit\u00e9 permet aux attaquants d’adapter leur code avec peu d’effort, d’autant plus que le La majorit\u00e9 de la base de code (c’est-\u00e0-dire l’activit\u00e9 li\u00e9e au chiffrement) est du pur Golang et ne n\u00e9cessite aucune r\u00e9\u00e9criture pour une plate-forme diff\u00e9rente.<\/p>\n NONAME se distingue \u00e9galement par le fait que son site de fuite de donn\u00e9es imite celui du groupe LockBit, \u00e9voquant la possibilit\u00e9 qu’il s’agisse soit d’un autre LockBit, soit qu’il collecte des bases de donn\u00e9es divulgu\u00e9es partag\u00e9es par LockBit sur le portail officiel des fuites, chercheur Rakesh Krishnan<\/a> soulign\u00e9.<\/p>\n Les r\u00e9sultats font suite \u00e0 un rapport<\/a> de la soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9 Intrinsec qui a connect\u00e9 le ransomware naissant 3AM (\u00e9galement orthographi\u00e9 ThreeAM) au ransomware Royal\/BlackSuit, qui, \u00e0 son tour, est apparu apr\u00e8s la fermeture du syndicat de cybercriminalit\u00e9 Conti en mai 2022.<\/p>\n Les liens proviennent d’un \u00ab chevauchement important \u00bb dans les tactiques et les canaux de communication entre le ransomware 3 AM et \u00ab l’infrastructure partag\u00e9e de l’ancien lien Conti-Ryuk-TrickBot \u00bb.<\/p>\n Ce n’est pas tout. Des acteurs de ransomware ont \u00e9t\u00e9 observ\u00e9s une fois de plus utilisant TeamViewer comme vecteur d’acc\u00e8s initial pour violer les environnements cibles et tenter de d\u00e9ployer des chiffreurs bas\u00e9s sur le g\u00e9n\u00e9rateur de ransomware LockBit, qui fuite<\/a> en septembre 2022.<\/p>\n “Les acteurs malveillants recherchent tous les moyens disponibles d’acc\u00e8s aux points de terminaison individuels pour faire des ravages et \u00e9ventuellement \u00e9tendre leur port\u00e9e plus loin dans l’infrastructure”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Huntress. dit<\/a>.<\/p>\n Ces derni\u00e8res semaines, LockBit 3.0 a \u00e9galement \u00e9t\u00e9 distribu\u00e9 sous la forme de fichiers Microsoft Word d\u00e9guis\u00e9s en CV ciblant des entit\u00e9s en Cor\u00e9e du Sud, selon l’AhnLab Security Intelligence Center (UNE SECONDE<\/a>).<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Albabat-Kasseika-Kuiper-de-nouveaux-gangs-de-ransomwares-se-multiplient.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n