Plusieurs entreprises op\u00e9rant dans le secteur des crypto-monnaies sont la cible d’une porte d\u00e9rob\u00e9e Apple macOS r\u00e9cemment d\u00e9couverte nomm\u00e9e Porte Rouille<\/b>.<\/p>\n
RustDoor a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Bitdefender la semaine derni\u00e8re, le d\u00e9crivant comme un malware bas\u00e9 sur Rust capable de collecter et de t\u00e9l\u00e9charger des fichiers, ainsi que de collecter des informations sur les machines infect\u00e9es. Il est distribu\u00e9 en se faisant passer pour une mise \u00e0 jour de Visual Studio.<\/p>\n
Bien que des preuves ant\u00e9rieures aient r\u00e9v\u00e9l\u00e9 au moins trois variantes diff\u00e9rentes de la porte d\u00e9rob\u00e9e, le m\u00e9canisme de propagation initial exact restait inconnu.<\/p>\n
Cela dit, la soci\u00e9t\u00e9 roumaine de cybers\u00e9curit\u00e9 a ensuite d\u00e9clar\u00e9 \u00e0 The Hacker News que le malware avait \u00e9t\u00e9 utilis\u00e9 dans le cadre d’une attaque cibl\u00e9e plut\u00f4t que d’une campagne de distribution de fusil de chasse, notant qu’elle avait trouv\u00e9 des artefacts suppl\u00e9mentaires responsables du t\u00e9l\u00e9chargement et de l’ex\u00e9cution de RustDoor.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/RustDoor-macOS-Backdoor-cible-les-entreprises-de-crypto-monnaie-avec-de.jpg\")
<\/a><\/center><\/div>\n“Certains de ces premiers t\u00e9l\u00e9chargeurs pr\u00e9tendent \u00eatre des fichiers PDF contenant des offres d’emploi, mais en r\u00e9alit\u00e9, ce sont des scripts qui t\u00e9l\u00e9chargent et ex\u00e9cutent le malware tout en t\u00e9l\u00e9chargeant et en ouvrant un fichier PDF inoffensif qui se pr\u00e9sente comme un accord de confidentialit\u00e9”, Bogdan Botezatu, directeur. de recherche et de reporting sur les menaces chez Bitdefender, a d\u00e9clar\u00e9.<\/p>\n
Depuis lors, trois autres \u00e9chantillons malveillants agissant comme des charges utiles de premi\u00e8re \u00e9tape ont \u00e9t\u00e9 d\u00e9couverts, chacun pr\u00e9tendant \u00eatre une offre d’emploi. Ces archives ZIP sont ant\u00e9rieures de pr\u00e8s d’un mois aux pr\u00e9c\u00e9dents binaires RustDoor.<\/p>\n
Le nouveau composant de la cha\u00eene d’attaque \u2013 c’est-\u00e0-dire les fichiers d’archive (\u00ab Jobinfo.app.zip \u00bb ou \u00ab Jobinfo.zip \u00bb) \u2013 contient un script shell de base charg\u00e9 de r\u00e9cup\u00e9rer l’implant sur un site Web nomm\u00e9 turkishfurniture.[.]Blog. Il est \u00e9galement con\u00e7u pour pr\u00e9visualiser un fichier PDF leurre inoffensif (\u00ab job.pdf \u00bb) h\u00e9berg\u00e9 sur le m\u00eame site comme distraction.<\/p>\n
<\/a><\/div>\nBitdefender dit<\/a> il a \u00e9galement d\u00e9tect\u00e9 quatre nouveaux binaires bas\u00e9s sur Golang qui communiquent avec un domaine contr\u00f4l\u00e9 par un acteur (\u00ab sarkerrentacars[.]com”), dont le but est de “collecter des informations sur la machine de la victime et ses connexions r\u00e9seau \u00e0 l’aide des utilitaires system_profiler et networksetup, qui font partie du syst\u00e8me d’exploitation macOS.<\/p>\n De plus, les binaires sont capables d’extraire des d\u00e9tails sur le disque via \u00ab diskutil list \u00bb ainsi que de r\u00e9cup\u00e9rer une large liste de param\u00e8tres du noyau et de valeurs de configuration \u00e0 l’aide de la commande \u00ab sysctl -a \u00bb.<\/p>\n Une enqu\u00eate plus approfondie de l’infrastructure de commande et de contr\u00f4le (C2) a \u00e9galement r\u00e9v\u00e9l\u00e9 une fuite de point de terminaison (“\/client\/bots”) qui permet de glaner des d\u00e9tails sur les victimes actuellement infect\u00e9es, y compris l’horodatage de l’enregistrement de l’h\u00f4te infect\u00e9. et la derni\u00e8re activit\u00e9 a \u00e9t\u00e9 observ\u00e9e.<\/p>\n Cette \u00e9volution intervient alors que le National Intelligence Service (NIS) de Cor\u00e9e du Sud r\u00e9v\u00e9l\u00e9<\/a> qu’une organisation informatique affili\u00e9e au bureau n\u00b0 39 du Parti des travailleurs de Cor\u00e9e du Nord g\u00e9n\u00e8re des revenus illicites en vente<\/a> des milliers de sites Web de jeux d’argent contenant des logiciels malveillants \u00e0 d’autres cybercriminels pour voler des donn\u00e9es sensibles \u00e0 des joueurs sans m\u00e9fiance.<\/p>\n La soci\u00e9t\u00e9 \u00e0 l’origine du programme MaaS (malware-as-a-service) est Gyeongheung (\u00e9galement orthographi\u00e9 Gyonghung), une entit\u00e9 de 15 membres bas\u00e9e \u00e0 Dandong qui aurait re\u00e7u 5 000 $ d’une organisation criminelle sud-cor\u00e9enne non identifi\u00e9e en \u00e9change de la cr\u00e9ation d’un site Web unique. et 3 000 dollars par mois pour la maintenance du site Web, agence de presse Yonhap signal\u00e9<\/a>.<\/p>\n <\/p>\n<\/a><\/center><\/div>\n