Les utilisateurs du Br\u00e9sil sont la cible d’un nouveau cheval de Troie bancaire appel\u00e9 CHAVEMANTEAU<\/strong> qui se propage via des e-mails de phishing contenant des pi\u00e8ces jointes PDF.<\/p>\n “Cette attaque complexe implique que le PDF t\u00e9l\u00e9charge un fichier ZIP et utilise ensuite des techniques de chargement lat\u00e9ral de DLL pour ex\u00e9cuter le malware final”, a d\u00e9clar\u00e9 Cara Lin, chercheuse chez Fortinet FortiGuard Labs. dit<\/a>.<\/p>\n La cha\u00eene d’attaque implique l’utilisation de leurres DocuSign sur le th\u00e8me des contrats pour inciter les utilisateurs \u00e0 ouvrir des fichiers PDF contenant un bouton pour lire et signer les documents.<\/p>\n En r\u00e9alit\u00e9, cliquer sur le bouton entra\u00eene la r\u00e9cup\u00e9ration d’un fichier d’installation \u00e0 partir d’un lien distant raccourci \u00e0 l’aide du service de raccourcissement d’URL Goo.su.<\/p>\n Le programme d’installation contient un ex\u00e9cutable nomm\u00e9 “Lightshot.exe” qui exploite le chargement lat\u00e9ral de DLL pour charger “Lightshot.dll”, qui est le malware CHAVECLOAK qui facilite le vol d’informations sensibles.<\/p>\n Cela inclut la collecte de m\u00e9tadonn\u00e9es du syst\u00e8me et l’ex\u00e9cution de v\u00e9rifications pour d\u00e9terminer si la machine compromise se trouve au Br\u00e9sil et, si tel est le cas, la surveillance p\u00e9riodique de la fen\u00eatre de premier plan pour la comparer \u00e0 une liste pr\u00e9d\u00e9finie de cha\u00eenes li\u00e9es \u00e0 la banque.<\/p>\n Si cela correspond, une connexion est \u00e9tablie avec un serveur de commande et de contr\u00f4le (C2) et proc\u00e8de \u00e0 la collecte de divers types d’informations et \u00e0 leur exfiltration vers des points de terminaison distincts sur le serveur en fonction de l’institution financi\u00e8re.<\/p>\n \u00ab\u00a0Le logiciel malveillant facilite diverses actions visant \u00e0 voler les informations d’identification d’une victime, par exemple en permettant \u00e0 l’op\u00e9rateur de bloquer l’\u00e9cran de la victime, d’enregistrer les frappes au clavier et d’afficher des fen\u00eatres contextuelles trompeuses\u00a0\u00bb, a d\u00e9clar\u00e9 Lin.<\/p>\n “Le malware surveille activement l’acc\u00e8s de la victime \u00e0 des portails financiers sp\u00e9cifiques, notamment plusieurs banques et Mercado Bitcoin, qui englobe \u00e0 la fois les plateformes bancaires traditionnelles et les plateformes de crypto-monnaie.”<\/p>\n Fortinet a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert une variante Delphi de CHAVECLOAK, soulignant une fois de plus la pr\u00e9valence des logiciels malveillants bas\u00e9s sur Delphi ciblant l’Am\u00e9rique latine.<\/p>\n \u00ab L’\u00e9mergence du cheval de Troie bancaire CHAVECLOAK souligne l’\u00e9volution du paysage des cybermenaces ciblant le secteur financier, en particulier les utilisateurs au Br\u00e9sil \u00bb, a conclu Lin.<\/p>\n Ces d\u00e9couvertes surviennent dans le cadre d’une campagne de fraude bancaire mobile en cours contre le Royaume-Uni, l’Espagne et l’Italie, qui consiste \u00e0 utiliser des tactiques de smishing et de vishing (c’est-\u00e0-dire phishing par SMS et voix) pour d\u00e9ployer un malware Android appel\u00e9 Copybara dans le but d’effectuer des transferts bancaires non autoris\u00e9s vers un pays. r\u00e9seau de comptes bancaires g\u00e9r\u00e9s par des mules d’argent.<\/p>\n “TA [Threat actors] ont \u00e9t\u00e9 captur\u00e9s en utilisant une mani\u00e8re structur\u00e9e de g\u00e9rer toutes les campagnes de phishing en cours via un panneau Web centralis\u00e9 connu sous le nom de \u00ab\u00a0Mr. “Robot”, Cleafy dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Gr\u00e2ce \u00e0 ce panel, les TA peuvent activer et g\u00e9rer plusieurs campagnes de phishing (contre diff\u00e9rentes institutions financi\u00e8res) en fonction de leurs besoins.”<\/p>\n Le cadre C2 permet \u00e9galement aux attaquants d’orchestrer des attaques sur mesure contre des institutions financi\u00e8res distinctes \u00e0 l’aide de kits de phishing con\u00e7us pour imiter l’interface utilisateur de l’entit\u00e9 cibl\u00e9e, tout en adoptant des m\u00e9thodes anti-d\u00e9tection via le g\u00e9orep\u00e9rage et les empreintes digitales des appareils pour limiter les connexions uniquement \u00e0 partir d’appareils mobiles.<\/p>\n Le kit de phishing \u2013 qui sert de fausse page de connexion \u2013 est charg\u00e9 de capturer les informations d’identification et les num\u00e9ros de t\u00e9l\u00e9phone des clients des banques de d\u00e9tail et d’envoyer les d\u00e9tails \u00e0 un groupe Telegram.<\/p>\n Une partie de l’infrastructure malveillante utilis\u00e9e pour la campagne est con\u00e7ue pour diffuser Copybara, qui est g\u00e9r\u00e9 \u00e0 l’aide d’un panneau C2 nomm\u00e9 JOKER RAT qui affiche tous les appareils infect\u00e9s et leur r\u00e9partition g\u00e9ographique sur une carte en direct.<\/p>\n Il permet \u00e9galement aux acteurs malveillants d’interagir \u00e0 distance et en temps r\u00e9el avec un appareil infect\u00e9 \u00e0 l’aide d’un module VNC, en plus d’injecter de fausses superpositions au-dessus des applications bancaires pour siphonner les informations d’identification, d’enregistrer les frappes au clavier en abusant des services d’accessibilit\u00e9 d’Android et d’intercepter les messages SMS.<\/p>\n En plus de cela, JOKER RAT est livr\u00e9 avec un g\u00e9n\u00e9rateur d’APK qui permet de personnaliser le nom de l’application malveillante, le nom du package et les ic\u00f4nes.<\/p>\n “Une autre fonctionnalit\u00e9 disponible \u00e0 l’int\u00e9rieur du panneau est la “notification push”, probablement utilis\u00e9e pour envoyer aux appareils infect\u00e9s de fausses notifications push qui ressemblent \u00e0 une notification bancaire pour inciter l’utilisateur \u00e0 ouvrir l’application de la banque de telle mani\u00e8re que le malware puisse voler les informations d’identification. “, ont d\u00e9clar\u00e9 Francesco Iubatti et Federico Valentini, chercheurs de Cleafy.<\/p>\n La sophistication croissante des stratag\u00e8mes de fraude sur les appareils (ODF) est \u00e9galement mise en \u00e9vidence par une campagne TeaBot (alias Anatsa) r\u00e9cemment r\u00e9v\u00e9l\u00e9e qui a r\u00e9ussi \u00e0 infiltrer le Google Play Store sous le couvert d’applications de lecture de PDF.<\/p>\n “Cette application sert de compte-gouttes, facilitant le t\u00e9l\u00e9chargement d’un cheval de Troie bancaire de la famille TeaBot en plusieurs \u00e9tapes”, d\u00e9clare Iubatti dit<\/a>. “Avant de t\u00e9l\u00e9charger le cheval de Troie bancaire, le dropper ex\u00e9cute des techniques d’\u00e9vasion avanc\u00e9es, notamment l’obscurcissement et la suppression de fichiers, ainsi que de multiples v\u00e9rifications sur les pays victimes.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/03\/Le-nouveau-cheval-de-Troie-bancaire-CHAVECLOAK-cible-les-utilisateurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n