Les auteurs de la menace derri\u00e8re le cheval de Troie bancaire Mispadu sont les derniers \u00e0 exploiter une faille de contournement de s\u00e9curit\u00e9 Windows SmartScreen, d\u00e9sormais corrig\u00e9e, pour compromettre les utilisateurs au Mexique.<\/p>\n
Les attaques impliquent une nouvelle variante du malware qui a \u00e9t\u00e9 observ\u00e9e pour la premi\u00e8re fois en 2019, a d\u00e9clar\u00e9 l’unit\u00e9 42 de Palo Alto Networks dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n
Propag\u00e9 via des courriers de phishing, Mispadu est un voleur d’informations bas\u00e9 sur Delphi connu pour infecter sp\u00e9cifiquement les victimes de la r\u00e9gion latino-am\u00e9ricaine (LATAM). En mars 2023, Metabase Q r\u00e9v\u00e9lait que les campagnes de spam Mispadu avaient r\u00e9colt\u00e9 pas moins de 90 000 identifiants de comptes bancaires depuis ao\u00fbt 2022.<\/p>\n
Il fait \u00e9galement partie de la plus grande famille de logiciels malveillants bancaires LATAM, dont Grandoreiro, qui a \u00e9t\u00e9 d\u00e9mantel\u00e9 par les autorit\u00e9s br\u00e9siliennes charg\u00e9es de l’application des lois la semaine derni\u00e8re.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-nouveau-cheval-de-Troie-bancaire-Mispadu-exploite-la-faille.jpg\")
<\/a><\/center><\/div>\nLa derni\u00e8re cha\u00eene d’infection identifi\u00e9e par l’Unit\u00e9 42 utilise des fichiers de raccourci Internet malveillants contenus dans de faux fichiers d’archive ZIP qui exploitent CVE-2023-36025 (score CVSS : 8,8), une faille de contournement de haute gravit\u00e9 dans Windows SmartScreen. Ce probl\u00e8me a \u00e9t\u00e9 r\u00e9solu par Microsoft en novembre 2023.<\/p>\n
“Cet exploit tourne autour de la cr\u00e9ation d’un fichier de raccourci Internet sp\u00e9cialement con\u00e7u (.URL) ou d’un lien hypertexte pointant vers des fichiers malveillants pouvant contourner les avertissements de SmartScreen”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Daniela Shalev et Josh Grunzweig. dit<\/a>.<\/p>\n “Le contournement est simple et repose sur un param\u00e8tre qui fait r\u00e9f\u00e9rence \u00e0 un partage r\u00e9seau, plut\u00f4t qu’\u00e0 une URL. Le fichier .URL contrefait contient un lien vers le partage r\u00e9seau d’un acteur mena\u00e7ant avec un binaire malveillant.”<\/p>\n Mispadu, une fois lanc\u00e9, r\u00e9v\u00e8le ses vraies couleurs en ciblant s\u00e9lectivement les victimes en fonction de leur emplacement g\u00e9ographique (c’est-\u00e0-dire Am\u00e9riques ou Europe occidentale) et des configurations du syst\u00e8me, puis \u00e9tablit le contact avec un serveur de commande et de contr\u00f4le (C2) pour le suivi. sur l’exfiltration de donn\u00e9es.<\/p>\n Ces derniers mois, la faille Windows a \u00e9t\u00e9 exploit\u00e9e de mani\u00e8re sauvage par plusieurs groupes de cybercriminalit\u00e9 pour diffuser les logiciels malveillants DarkGate et Phemadrone Stealer.<\/p>\n Le Mexique est \u00e9galement devenu une cible privil\u00e9gi\u00e9e de plusieurs campagnes men\u00e9es au cours de l’ann\u00e9e \u00e9coul\u00e9e, qui se sont propag\u00e9es voleurs d’informations<\/a> et des chevaux de Troie d’acc\u00e8s \u00e0 distance comme AllaKore RAT, AsyncRAT, Babylon RAT. Cela constitue un groupe motiv\u00e9 financi\u00e8rement baptis\u00e9 TA558<\/a> qui attaque les secteurs de l\u2019h\u00f4tellerie et du voyage dans la r\u00e9gion LATAM depuis 2018.<\/p>\n Ce d\u00e9veloppement intervient alors que Sekoia a d\u00e9taill\u00e9 le fonctionnement interne de DICELOADER (alias Lizar ou Tirion), un t\u00e9l\u00e9chargeur personnalis\u00e9 \u00e9prouv\u00e9 et utilis\u00e9 par le groupe russe de lutte contre la criminalit\u00e9 \u00e9lectronique suivi sous le nom de FIN7. Le malware a \u00e9t\u00e9 observ\u00e9 livr\u00e9<\/a> via des cl\u00e9s USB malveillantes (alias BadUSB) dans le pass\u00e9.<\/p>\n “DICELOADER est abandonn\u00e9 par un script PowerShell avec d’autres malwares de l’arsenal de l’ensemble des intrusions comme Carbanak RAT”, affirme la soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9. dit<\/a>faisant appel \u00e0 ses m\u00e9thodes d’obscurcissement sophistiqu\u00e9es pour dissimuler les adresses IP C2 et les communications r\u00e9seau.<\/p>\n Cela fait \u00e9galement suite \u00e0 la d\u00e9couverte par AhnLab de deux nouvelles campagnes malveillantes d’extraction de cryptomonnaies qui emploient archives pi\u00e9g\u00e9es<\/a> et astuces de jeu<\/a> pour d\u00e9ployer des logiciels malveillants mineurs qui exploitent Monero et Zephyr.<\/p>\n <\/p>\n<\/a><\/center><\/div>\n