Une nouvelle campagne de phishing a \u00e9t\u00e9 observ\u00e9e d\u00e9livrant des chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT) tels que VCURMS et STRRAT au moyen d’un t\u00e9l\u00e9chargeur malveillant bas\u00e9 sur Java.<\/p>\n
“Les attaquants ont stock\u00e9 des logiciels malveillants sur des services publics comme Amazon Web Services (AWS) et GitHub, en utilisant un protecteur commercial pour \u00e9viter la d\u00e9tection du logiciel malveillant”, a d\u00e9clar\u00e9 Yurren Wan, chercheur chez Fortinet FortiGuard Labs. dit<\/a>.<\/p>\n Un aspect inhabituel de la campagne est l’utilisation par VCURMS d’une adresse e-mail Proton Mail (“sacriliage@proton[.]me”) pour communiquer avec un serveur de commande et de contr\u00f4le (C2).<\/p>\n La cha\u00eene d’attaque commence par un e-mail de phishing invitant les destinataires \u00e0 cliquer sur un bouton pour v\u00e9rifier les informations de paiement, entra\u00eenant le t\u00e9l\u00e9chargement d’un fichier JAR malveillant (\u00ab Payment-Advice.jar \u00bb) h\u00e9berg\u00e9 sur AWS.<\/p>\n L’ex\u00e9cution du fichier JAR entra\u00eene la r\u00e9cup\u00e9ration de deux fichiers JAR suppl\u00e9mentaires, qui sont ensuite ex\u00e9cut\u00e9s s\u00e9par\u00e9ment pour lancer les chevaux de Troie jumeaux.<\/p>\n En plus d’envoyer un e-mail avec le message “Hey ma\u00eetre, je suis en ligne” \u00e0 l’adresse contr\u00f4l\u00e9e par l’acteur, VCURMS RAT v\u00e9rifie p\u00e9riodiquement dans la bo\u00eete aux lettres les e-mails avec des lignes d’objet sp\u00e9cifiques pour extraire la commande \u00e0 ex\u00e9cuter du corps de la missive.<\/p>\n Cela inclut l’ex\u00e9cution de commandes arbitraires \u00e0 l’aide de cmd.exe, la collecte d’informations syst\u00e8me, la recherche et le t\u00e9l\u00e9chargement de fichiers d’int\u00e9r\u00eat, ainsi que le t\u00e9l\u00e9chargement de modules de vol d’informations et d’enregistreur de frappe suppl\u00e9mentaires \u00e0 partir du m\u00eame point de terminaison AWS.<\/p>\n Le voleur d’informations est dot\u00e9 de capacit\u00e9s permettant de siphonner les donn\u00e9es sensibles d’applications telles que Discord et Steam, les informations d’identification, les cookies et les donn\u00e9es de remplissage automatique de divers navigateurs Web, des captures d’\u00e9cran et des informations d\u00e9taill\u00e9es sur le mat\u00e9riel et le r\u00e9seau sur les h\u00f4tes compromis.<\/p>\n VCURMS partagerait des similitudes avec un autre voleur d’informations bas\u00e9 sur Java nomm\u00e9 Voleur grossier<\/a>, qui a \u00e9merg\u00e9 \u00e0 l’\u00e9tat sauvage \u00e0 la fin de l’ann\u00e9e derni\u00e8re. STRRAT, en revanche, est d\u00e9tect\u00e9 dans la nature depuis au moins 2020, souvent propag\u00e9 sous la forme de fichiers JAR frauduleux.<\/p>\n “STRRAT est un RAT construit \u00e0 l’aide de Java, qui poss\u00e8de un large \u00e9ventail de fonctionnalit\u00e9s, telles que servir d’enregistreur de frappe et extraire les informations d’identification des navigateurs et des applications”, a not\u00e9 Wan.<\/p>\n Cette divulgation intervient alors que Darktrace a r\u00e9v\u00e9l\u00e9 une nouvelle campagne de phishing qui tire parti des e-mails automatis\u00e9s envoy\u00e9s depuis le service de stockage cloud Dropbox via \u00ab no-reply@dropbox \u00bb.[.]com” pour propager un faux lien imitant la page de connexion de Microsoft 365.<\/p>\n “L’e-mail lui-m\u00eame contenait un lien qui m\u00e8nerait un utilisateur vers un fichier PDF h\u00e9berg\u00e9 sur Dropbox, qui portait apparemment le nom d’un partenaire de l’organisation”, a expliqu\u00e9 la soci\u00e9t\u00e9. dit<\/a>. “le fichier PDF contenait un lien suspect vers un domaine qui n’avait jamais \u00e9t\u00e9 vu auparavant sur l’environnement du client, ‘mmv-security[.]haut.'”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/03\/Alerte-Cybercriminels-deployant-les-chevaux-de-Troie-VCURMS-et.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n