Une faille de s\u00e9curit\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans Microsoft Defender SmartScreen a \u00e9t\u00e9 exploit\u00e9e comme un jour z\u00e9ro par un acteur de menace persistante avanc\u00e9e appel\u00e9 Water Hydra (alias DarkCasino) ciblant les traders des march\u00e9s financiers.<\/p>\n
Trend Micro, qui a commenc\u00e9 \u00e0 suivre la campagne fin d\u00e9cembre 2023, a d\u00e9clar\u00e9 qu’elle impliquait l’exploitation de CVE-2024-21412, une vuln\u00e9rabilit\u00e9 de contournement de s\u00e9curit\u00e9 li\u00e9e aux fichiers de raccourci Internet (.URL). <\/p>\n
“Dans cette cha\u00eene d’attaques, l’acteur malveillant a exploit\u00e9 CVE-2024-21412 pour contourner Microsoft Defender SmartScreen et infecter les victimes avec le malware DarkMe”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. dit<\/a> dans un rapport de mardi.<\/p>\n Microsoft, qui a corrig\u00e9 la faille dans sa mise \u00e0 jour du Patch Tuesday de f\u00e9vrier, a d\u00e9clar\u00e9 qu’un attaquant non authentifi\u00e9 pourrait exploiter la faille en envoyant \u00e0 l’utilisateur cibl\u00e9 un fichier sp\u00e9cialement con\u00e7u afin de contourner les contr\u00f4les de s\u00e9curit\u00e9 affich\u00e9s.<\/p>\n Cependant, une exploitation r\u00e9ussie repose sur la condition pr\u00e9alable que l\u2019auteur de la menace convainque la victime de cliquer sur le lien du fichier pour afficher le contenu contr\u00f4l\u00e9 par l\u2019attaquant.<\/p>\n La proc\u00e9dure d’infection document\u00e9e par Trend Micro exploite CVE-2024-21412 pour supprimer un fichier d’installation malveillant (\u00ab 7z.msi \u00bb) en cliquant sur une URL pi\u00e9g\u00e9e (\u00ab fxbulls[.]ru”) distribu\u00e9 via des forums de trading forex sous pr\u00e9texte de partager un lien vers une image boursi\u00e8re qui, en r\u00e9alit\u00e9, est un fichier de raccourci Internet (“photo_2023-12-29.jpg.url”).<\/p>\n “La page d’accueil sur fxbulls[.]ru contient un lien vers un partage WebDAV malveillant avec une vue sp\u00e9cialement filtr\u00e9e”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Peter Girnus, Aliakbar Zahravi et Simon Zuckerbraun.<\/p>\n “Lorsque les utilisateurs cliquent sur ce lien, le navigateur leur demande d’ouvrir le lien dans l’Explorateur Windows. Il ne s’agit pas d’une invite de s\u00e9curit\u00e9, donc l’utilisateur ne peut pas penser que ce lien est malveillant.”<\/p>\n L’astuce astucieuse qui rend cela possible est l’abus par l’acteur malveillant du protocole d’application de recherche, qui est utilis\u00e9 pour appeler l’application de recherche de bureau sous Windows et qui a \u00e9t\u00e9 utilis\u00e9 de mani\u00e8re abusive dans le pass\u00e9 pour diffuser des logiciels malveillants.<\/p>\n Le fichier de raccourci Internet malveillant, quant \u00e0 lui, pointe vers un autre fichier de raccourci Internet h\u00e9berg\u00e9 sur un serveur distant (“2.url”), qui, \u00e0 son tour, pointe vers un script shell CMD au sein d’une archive ZIP h\u00e9berg\u00e9e sur le m\u00eame serveur ( “a2.zip\/a2.cmd”).<\/p>\n Ce r\u00e9f\u00e9rencement inhabituel vient du fait que \u00ab\u00a0l’appel d’un raccourci dans un autre raccourci \u00e9tait suffisant pour \u00e9chapper \u00e0 SmartScreen, qui n’a pas r\u00e9ussi \u00e0 appliquer correctement Mark of the Web (MotW), un composant Windows critique qui alerte les utilisateurs lors de l’ouverture ou de l’ex\u00e9cution de fichiers provenant d’une source non fiable. “.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-logiciel-malveillant-DarkMe-cible-les-traders-en-utilisant-la.jpg\")
<\/a><\/center><\/div>\n