Les acteurs de la menace derri\u00e8re un malware de chargement appel\u00e9 HijackLoader<\/strong> ont ajout\u00e9 de nouvelles techniques pour contourner la d\u00e9fense, car les logiciels malveillants continuent d’\u00eatre de plus en plus utilis\u00e9s par d’autres acteurs malveillants pour fournir des charges utiles et des outils suppl\u00e9mentaires.<\/p>\n “Le d\u00e9veloppeur du malware a utilis\u00e9 une technique de creux de processus standard coupl\u00e9e \u00e0 un d\u00e9clencheur suppl\u00e9mentaire activ\u00e9 par le processus parent \u00e9crivant dans un tube”, ont d\u00e9clar\u00e9 Donato Onofri et Emanuele Calvelli, chercheurs de CrowdStrike. dit<\/a> dans une analyse de mercredi. “Cette nouvelle approche a le potentiel de rendre l’\u00e9vasion de la d\u00e9fense plus furtive.”<\/p>\n HijackLoader a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Zscaler ThreatLabz en septembre 2023 comme ayant \u00e9t\u00e9 utilis\u00e9 comme canal pour fournir DanaBot, SystemBC et RedLine Stealer. Il est \u00e9galement connu pour partager un haut degr\u00e9 de similitude avec un autre chargeur appel\u00e9 IDAT Loader.<\/p>\n Les deux chargeurs sont consid\u00e9r\u00e9s comme \u00e9tant exploit\u00e9s par le m\u00eame groupe de cybercriminalit\u00e9. Dans les mois qui ont suivi, HijackLoader s’est propag\u00e9 via ClearFake et utilis\u00e9 par TA544<\/a> (alias Narwhal Spider, Gold Essex et Ursnif Gang) pour transmettre Remcos RAT et SystemBC via des messages de phishing.<\/p>\n “Pensez aux chargeurs comme des loups d\u00e9guis\u00e9s en mouton. Leur but est de se faufiler, d’introduire et d’ex\u00e9cuter des menaces et des outils plus sophistiqu\u00e9s”, a d\u00e9clar\u00e9 Liviu Arsene, directeur de la recherche sur les menaces et du reporting chez CrowdStrike, dans une d\u00e9claration partag\u00e9e avec The Hacker News.<\/p>\n “Cette variante r\u00e9cente de HijackLoader (alias IDAT Loader) intensifie son jeu de furtivit\u00e9 en ajoutant et en exp\u00e9rimentant de nouvelles techniques. Cela revient \u00e0 am\u00e9liorer son d\u00e9guisement, le rendant plus furtif, plus complexe et plus difficile \u00e0 analyser. En substance, ils” re peaufiner leur camouflage num\u00e9rique.”<\/p>\n Le point de d\u00e9part de la cha\u00eene d’attaque en plusieurs \u00e9tapes est un ex\u00e9cutable (\u00ab\u00a0streaming_client.exe\u00a0\u00bb) qui v\u00e9rifie une connexion Internet active et proc\u00e8de au t\u00e9l\u00e9chargement d’une configuration de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur distant.<\/p>\n L’ex\u00e9cutable charge ensuite une biblioth\u00e8que de liens dynamiques (DLL) l\u00e9gitime sp\u00e9cifi\u00e9e dans la configuration pour activer le shellcode responsable du lancement de la charge utile HijackLoader via une combinaison de processus double<\/a> et processus de creusement<\/a> techniques qui augmentent la complexit\u00e9 de l\u2019analyse et la capacit\u00e9s d’\u00e9vasion de la d\u00e9fense<\/a>.<\/p>\n “Le shellcode de deuxi\u00e8me \u00e9tape de HijackLoader, ind\u00e9pendant de la position, effectue ensuite certaines activit\u00e9s d’\u00e9vasion pour contourner les hooks du mode utilisateur \u00e0 l’aide de La porte du Paradis<\/a> et injecte le shellcode suivant dans cmd.exe”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “L’injection du shellcode de troisi\u00e8me \u00e9tape est r\u00e9alis\u00e9e via une variation du processus de creusement qui entra\u00eene l’injection d’un mshtml.dll creux dans le processus enfant cmd.exe nouvellement g\u00e9n\u00e9r\u00e9.”<\/p>\n La porte du Paradis fait r\u00e9f\u00e9rence<\/a> \u00e0 un truc furtif<\/a> qui permet \u00e0 des logiciels malveillants de \u00e9chapper aux produits de s\u00e9curit\u00e9 des points finaux<\/a> en appelant du code 64 bits dans des processus 32 bits sous Windows, contournant ainsi efficacement les hooks du mode utilisateur.<\/p>\n L’une des principales techniques d’\u00e9vasion observ\u00e9es dans les s\u00e9quences d’attaque de HijackLoader est l’utilisation d’un m\u00e9canisme d’injection de processus appel\u00e9 \u00e9videment effectu\u00e9<\/a>ce qui a d\u00e9j\u00e0 \u00e9t\u00e9 observ\u00e9 dans des logiciels malveillants tels que Cheval de Troie bancaire Osiris<\/a>.<\/p>\n “Les chargeurs sont cens\u00e9s servir de plates-formes de lancement furtives permettant aux adversaires d’introduire et d’ex\u00e9cuter des logiciels malveillants et des outils plus sophistiqu\u00e9s sans br\u00fbler leurs actifs dans les \u00e9tapes initiales”, a d\u00e9clar\u00e9 Ars\u00e8ne.<\/p>\n “Investir dans de nouvelles capacit\u00e9s d’\u00e9vasion de d\u00e9fense pour HijackLoader (alias IDAT Loader) est potentiellement une tentative de le rendre plus furtif et de passer sous le radar des solutions de s\u00e9curit\u00e9 traditionnelles. Les nouvelles techniques signalent \u00e0 la fois une \u00e9volution d\u00e9lib\u00e9r\u00e9e et exp\u00e9rimentale des capacit\u00e9s d’\u00e9vasion de d\u00e9fense existantes tout en augmentant la complexit\u00e9 de l’analyse pour les chercheurs sur les menaces.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/HijackLoader-evolue-les-chercheurs-decodent-les-dernieres-methodes-devasion.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n