Les auteurs de la menace exploitent de fausses offres d’emploi sur Facebook pour inciter des cibles potentielles \u00e0 installer un nouveau malware voleur bas\u00e9 sur Windows, nomm\u00e9 Ov3r_Stealer<\/strong>.<\/p>\n “Ce malware est con\u00e7u pour voler des informations d’identification et des portefeuilles cryptographiques et les envoyer vers un canal Telegram surveill\u00e9 par l’acteur malveillant”, Trustwave SpiderLabs dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Ov3r_Stealer est capable de siphonner l’emplacement bas\u00e9 sur l’adresse IP, les informations sur le mat\u00e9riel, les mots de passe, les cookies, les informations de carte de cr\u00e9dit, les remplissages automatiques, les extensions de navigateur, les portefeuilles cryptographiques, les documents Microsoft Office et une liste de produits antivirus install\u00e9s sur l’h\u00f4te compromis.<\/p>\n Bien que l’objectif final exact de la campagne soit inconnu, il est probable que les informations vol\u00e9es soient propos\u00e9es \u00e0 la vente \u00e0 d’autres acteurs malveillants. Une autre possibilit\u00e9 est qu’Ov3r_Stealer soit mis \u00e0 jour au fil du temps pour agir comme un Chargeur de type QakBot<\/a> pour des charges utiles suppl\u00e9mentaires, y compris des ransomwares.<\/p>\n Le point de d\u00e9part de l’attaque est un fichier PDF militaris\u00e9 qui pr\u00e9tend \u00eatre un fichier h\u00e9berg\u00e9 sur OneDrive, invitant les utilisateurs \u00e0 cliquer sur un bouton \u00ab Acc\u00e9der au document \u00bb int\u00e9gr\u00e9.<\/p>\n Trustwave a d\u00e9clar\u00e9 avoir identifi\u00e9 le fichier PDF partag\u00e9 sur un faux compte Facebook se faisant passer pour le PDG d’Amazon, Andy Jassy, \u200b\u200bainsi que via des publicit\u00e9s Facebook pour des emplois de publicit\u00e9 num\u00e9rique.<\/p>\n Les utilisateurs qui finissent par cliquer sur le bouton re\u00e7oivent un fichier de raccourci Internet (.URL) qui se fait passer pour un document DocuSign h\u00e9berg\u00e9 sur le r\u00e9seau de diffusion de contenu (CDN) de Discord. Le fichier de raccourci agit ensuite comme un canal pour fournir un fichier d’\u00e9l\u00e9ment du panneau de configuration (.CPL), qui est ensuite ex\u00e9cut\u00e9 \u00e0 l’aide du binaire du processus du Panneau de configuration Windows (“control.exe<\/a>“).<\/p>\n L’ex\u00e9cution du fichier CPL conduit \u00e0 la r\u00e9cup\u00e9ration d’un chargeur PowerShell (“DATA1.txt”) depuis un d\u00e9p\u00f4t GitHub pour finalement lancer Ov3r_Stealer.<\/p>\n Il convient de noter \u00e0 ce stade qu’une cha\u00eene d’infection presque identique a \u00e9t\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9e par Trend Micro comme ayant \u00e9t\u00e9 utilis\u00e9e par des acteurs malveillants pour supprimer un autre voleur appel\u00e9 Phemadrone Stealer en exploitant la faille de contournement de Microsoft Windows Defender SmartScreen (CVE-2023-36025, Score CVSS : 8,8).<\/p>\n Les similitudes s’\u00e9tendent au r\u00e9f\u00e9rentiel GitHub utilis\u00e9 (nateeintanan2527) et au fait qu’Ov3r_Stealer partage des chevauchements au niveau du code avec Phemadrone.<\/p>\n “Ce malware a \u00e9t\u00e9 r\u00e9cemment signal\u00e9, et il se peut que Phhemedrone ait \u00e9t\u00e9 r\u00e9utilis\u00e9 et renomm\u00e9 Ov3r_Stealer”, a d\u00e9clar\u00e9 Trustwave. “La principale diff\u00e9rence entre les deux est que Phemadrone est \u00e9crit en C#.”<\/p>\n Ces r\u00e9sultats surviennent alors que Hudson Rock a r\u00e9v\u00e9l\u00e9 que les acteurs de la menace annoncent leur acc\u00e8s aux portails de demandes d’application de la loi de grandes organisations telles que Binance<\/a>, Google, M\u00e9ta et TikTok<\/a> en exploitant les informations d’identification obtenues \u00e0 partir d’infections infostealer.<\/p>\n Ils font \u00e9galement suite \u00e0 l’\u00e9mergence d’une cat\u00e9gorie d’infections appel\u00e9es CrackedCantil<\/a> qui utilisent des logiciels pirat\u00e9s comme vecteur d’acc\u00e8s initial pour supprimer des chargeurs tels que PrivateLoader et SmokeLoader, puis agissent ensuite comme un m\u00e9canisme de livraison pour les voleurs d’informations, les mineurs de crypto, les botnets proxy et les ransomwares.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Attention-fausses-offres-demploi-sur-Facebook-diffusant-Ov3r_Stealer-pour-voler.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n