Le tristement c\u00e9l\u00e8bre chargeur de logiciels malveillants et courtier d’acc\u00e8s initial connu sous le nom de Bourdon<\/strong> a refait surface apr\u00e8s quatre mois d’absence dans le cadre d’une nouvelle campagne de phishing observ\u00e9e en f\u00e9vrier 2024.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint a d\u00e9clar\u00e9 que cette activit\u00e9 cible les organisations aux \u00c9tats-Unis avec des leurres sur le th\u00e8me de la messagerie vocale contenant des liens vers des URL OneDrive.<\/p>\n “Les URL menaient \u00e0 un fichier Word portant des noms tels que “ReleaseEvans#96.docm” (les chiffres pr\u00e9c\u00e9dant l’extension du fichier variaient)”, a expliqu\u00e9 la soci\u00e9t\u00e9. dit<\/a> dans un rapport de mardi. “Le document Word a usurp\u00e9 la soci\u00e9t\u00e9 d’\u00e9lectronique grand public Humane.”<\/p>\n L’ouverture du document exploite les macros VBA pour lancer une commande PowerShell afin de t\u00e9l\u00e9charger et d’ex\u00e9cuter un autre script PowerShell \u00e0 partir d’un serveur distant qui, \u00e0 son tour, r\u00e9cup\u00e8re et ex\u00e9cute le chargeur Bumblebee.<\/p>\n Bumblebee, rep\u00e9r\u00e9 pour la premi\u00e8re fois en mars 2022, est principalement con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter des charges utiles ult\u00e9rieures telles que des ransomwares. Il a \u00e9t\u00e9 utilis\u00e9 par plusieurs auteurs de menaces de logiciels criminels qui avaient d\u00e9j\u00e0 observ\u00e9 la livraison de BazaLoader (alias BazarLoader) et d’IcedID.<\/p>\n Il est \u00e9galement soup\u00e7onn\u00e9 d’avoir \u00e9t\u00e9 d\u00e9velopp\u00e9 par des acteurs malveillants, le syndicat de cybercriminalit\u00e9 Conti et TrickBot, en remplacement de BazarLoader. En septembre 2023, Intel 471 a divulgu\u00e9 une campagne de distribution Bumblebee qui utilisait des serveurs Web Distributed Authoring and Versioning (WebDAV) pour diffuser le chargeur.<\/p>\n La cha\u00eene d’attaque se distingue par sa d\u00e9pendance \u00e0 l’\u00e9gard de documents prenant en charge les macros, d’autant plus que Microsoft a commenc\u00e9 \u00e0 bloquer par d\u00e9faut les macros dans les fichiers Office t\u00e9l\u00e9charg\u00e9s sur Internet \u00e0 partir de juillet 2022, ce qui a incit\u00e9 les acteurs malveillants \u00e0 modifier et \u00e0 diversifier leurs approches.<\/p>\n Le retour de Bumblebee co\u00efncide \u00e9galement avec la r\u00e9apparition de nouvelles variantes de QakBot, ZLoader et PikaBot, avec des \u00e9chantillons de QakBot distribu\u00e9s sous forme de fichiers Microsoft Software Installer (MSI).<\/p>\n “Le .MSI d\u00e9pose une archive Windows .cab (Cabinet), qui \u00e0 son tour contient une DLL”, explique la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sophos. dit<\/a> sur Mastodonte. “Le .MSI extrait la DLL du .cab et l’ex\u00e9cute \u00e0 l’aide d’un shellcode. Le shellcode am\u00e8ne la DLL \u00e0 g\u00e9n\u00e9rer une deuxi\u00e8me copie d’elle-m\u00eame et \u00e0 injecter le code du robot dans l’espace m\u00e9moire de la deuxi\u00e8me instance.”<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que les derniers artefacts de QakBot renforcent le cryptage utilis\u00e9 pour dissimuler des cha\u00eenes et d’autres informations, notamment en utilisant un logiciel malveillant de cryptage appel\u00e9 DaveCrypter, ce qui rend son analyse plus difficile. La nouvelle g\u00e9n\u00e9ration r\u00e9tablit \u00e9galement la possibilit\u00e9 de d\u00e9tecter si le malware s’ex\u00e9cutait dans une machine virtuelle ou un bac \u00e0 sable.<\/p>\n Une autre modification cruciale consiste \u00e0 chiffrer toutes les communications entre le malware et le serveur de commande et de contr\u00f4le (C2) \u00e0 l’aide d’AES-256, une m\u00e9thode plus puissante que celle utilis\u00e9e dans les versions ant\u00e9rieures au d\u00e9mant\u00e8lement de l’infrastructure de QakBot fin ao\u00fbt 2023.<\/p>\n “Le d\u00e9mant\u00e8lement de l’infrastructure du botnet QakBot a \u00e9t\u00e9 une victoire, mais les cr\u00e9ateurs du bot restent libres, et quelqu’un ayant acc\u00e8s au code source original de QakBot a exp\u00e9riment\u00e9 de nouvelles versions et test\u00e9 le terrain avec ces derni\u00e8res variantes”, a d\u00e9clar\u00e9 Andrew Brandt, chercheur principal. chez Sophos X-Ops, a d\u00e9clar\u00e9.<\/p>\n \u00ab L’un des changements les plus notables concerne une modification de l’algorithme de chiffrement que le bot utilise pour dissimuler les configurations par d\u00e9faut cod\u00e9es en dur dans le bot, ce qui rend plus difficile pour les analystes de voir comment le malware fonctionne ; les attaquants restaurent \u00e9galement des fonctionnalit\u00e9s pr\u00e9c\u00e9demment obsol\u00e8tes, telles que connaissance des machines virtuelles (VM) et les tester dans ces nouvelles versions.<\/p>\n QakBot est \u00e9galement apparu comme le deuxi\u00e8me malware le plus r\u00e9pandu<\/a> pour janvier 2024, derri\u00e8re FakeUpdates (alias SocGholish) mais devant d’autres familles comme Formbook, Nanocore, AsyncRAT, Remcos RAT et Agent Tesla.<\/p>\n Le d\u00e9veloppement arrive sous le nom de Malwarebytes r\u00e9v\u00e9l\u00e9<\/a> une nouvelle campagne dans laquelle des sites de phishing imitant des institutions financi\u00e8res comme Barclays incitent des cibles potentielles \u00e0 t\u00e9l\u00e9charger un logiciel de bureau \u00e0 distance l\u00e9gitime comme AnyDesk pour pr\u00e9tendument r\u00e9soudre des probl\u00e8mes inexistants et finalement permettre aux acteurs malveillants de prendre le contr\u00f4le de la machine.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-logiciel-malveillant-Bumblebee-revient-avec-de-nouvelles-astuces-ciblant.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n