Des chercheurs en cybers\u00e9curit\u00e9 ont rep\u00e9r\u00e9 une attaque de phishing distribuant le malware More_eggs en le faisant passer pour un CV, une technique d\u00e9tect\u00e9e \u00e0 l’origine il y a plus de deux ans.<\/p>\n
L’attaque, qui n’a pas abouti, visait une entreprise anonyme du secteur des services industriels en mai 2024, selon la soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9 eSentire. divulgu\u00e9<\/a> la semaine derni\u00e8re.<\/p>\n “Plus pr\u00e9cis\u00e9ment, l’individu cibl\u00e9 \u00e9tait un recruteur qui a \u00e9t\u00e9 tromp\u00e9 par l’acteur malveillant en lui faisant croire qu’il \u00e9tait un candidat \u00e0 un emploi et qui l’a attir\u00e9 vers son site Web pour t\u00e9l\u00e9charger le chargeur”, a-t-il indiqu\u00e9.<\/p>\n More_eggs, consid\u00e9r\u00e9 comme l’\u0153uvre d’un acteur mena\u00e7ant connu sous le nom de Golden Chickens (alias Venom Spider), est une porte d\u00e9rob\u00e9e modulaire capable de collecter des informations sensibles. Il est propos\u00e9 \u00e0 d’autres acteurs criminels dans le cadre d’un mod\u00e8le Malware-as-a-Service (MaaS).<\/p>\n L’ann\u00e9e derni\u00e8re, eSentire a d\u00e9voil\u00e9 l’identit\u00e9 r\u00e9elle de deux individus \u2013 Chuck de Montr\u00e9al et Jack \u2013 qui dirigeraient l’op\u00e9ration.<\/p>\n La derni\u00e8re cha\u00eene d’attaques implique que des acteurs malveillants r\u00e9pondent aux offres d’emploi de LinkedIn avec un lien vers un faux site de t\u00e9l\u00e9chargement de CV qui entra\u00eene le t\u00e9l\u00e9chargement d’un fichier de raccourci Windows (LNK) malveillant.<\/p>\n Il convient de noter que l’activit\u00e9 pr\u00e9c\u00e9dente de More_eggs a cibl\u00e9 des professionnels sur LinkedIn avec des offres d’emploi militaris\u00e9es pour les inciter \u00e0 t\u00e9l\u00e9charger le malware.<\/p>\n “La navigation vers la m\u00eame URL quelques jours plus tard aboutit au CV de l’individu en HTML brut, sans aucune indication de redirection ou de t\u00e9l\u00e9chargement”, a not\u00e9 eSentire.<\/p>\n Le fichier LNK est ensuite utilis\u00e9 pour r\u00e9cup\u00e9rer une DLL malveillante en exploitant un programme Microsoft l\u00e9gitime appel\u00e9 ie4uinit.exe, apr\u00e8s quoi la biblioth\u00e8que est ex\u00e9cut\u00e9e \u00e0 l’aide de regsvr32.exe pour \u00e9tablir la persistance, collecter des donn\u00e9es sur l’h\u00f4te infect\u00e9 et supprimer des charges utiles suppl\u00e9mentaires, notamment le Bas\u00e9 sur JavaScript More_eggs porte d\u00e9rob\u00e9e<\/a>.<\/p>\n “Les campagnes More_eggs sont toujours actives et leurs op\u00e9rateurs continuent d’utiliser des tactiques d’ing\u00e9nierie sociale, telles que se faire passer pour des candidats cherchant \u00e0 postuler \u00e0 un poste particulier et inciter les victimes (en particulier les recruteurs) \u00e0 t\u00e9l\u00e9charger leurs logiciels malveillants”, a d\u00e9clar\u00e9 eSentire.<\/p>\n “De plus, les campagnes comme more_eggs, qui utilisent l’offre MaaS, semblent rares et s\u00e9lectives par rapport aux r\u00e9seaux de distribution de spam classiques.”<\/p>\n Cette \u00e9volution intervient alors que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9galement r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une campagne de t\u00e9l\u00e9chargement en voiture qui utilise de faux sites Web pour l’outil d’activation Windows KMSPico afin de distribuer Vidar Stealer.<\/p>\n “Le kmspico[.]”Le site ws est h\u00e9berg\u00e9 derri\u00e8re Cloudflare Turnstile et n\u00e9cessite une intervention humaine (saisie d’un code) pour t\u00e9l\u00e9charger le package ZIP final”, eSentire not\u00e9<\/a>. “Ces \u00e9tapes sont inhabituelles pour une page de t\u00e9l\u00e9chargement d’application l\u00e9gitime et visent \u00e0 masquer la page et la charge utile finale aux robots d’exploration automatis\u00e9s.”<\/p>\n Des campagnes d’ing\u00e9nierie sociale similaires ont \u00e9galement mis en place des sites similaires usurpant l’identit\u00e9 de logiciels l\u00e9gitimes comme Advanced IP Scanner pour d\u00e9ployer Cobalt Strike, Trustwave SpiderLabs. dit<\/a> la semaine derni\u00e8re.<\/p>\n Cela fait \u00e9galement suite \u00e0 l’\u00e9mergence d’un nouveau kit de phishing appel\u00e9 V3B, utilis\u00e9 pour identifier les clients bancaires dans l’Union europ\u00e9enne dans le but de voler des informations d’identification et des mots de passe \u00e0 usage unique (OTP).<\/p>\n Le kit, propos\u00e9 entre 130 et 450 dollars par mois via un mod\u00e8le Phishing-as-a-Service (PhaaS) via le dark web et un canal Telegram d\u00e9di\u00e9, serait actif depuis mars 2023. Il est con\u00e7u pour prendre en charge plus de 54 banques. implant\u00e9 en Autriche, Belgique, Finlande, France, Allemagne, Gr\u00e8ce, Irlande, Italie, Luxembourg et Pays-Bas.<\/p>\n L’aspect le plus important de V3B est qu’il propose des mod\u00e8les personnalis\u00e9s et localis\u00e9s pour imiter divers processus d’authentification et de v\u00e9rification communs aux syst\u00e8mes bancaires en ligne et de commerce \u00e9lectronique de la r\u00e9gion.<\/p>\n Il est \u00e9galement dot\u00e9 de fonctionnalit\u00e9s avanc\u00e9es pour interagir avec les victimes en temps r\u00e9el et obtenir leur OTP et leur PhotoTAN<\/a> codes, ainsi qu’ex\u00e9cuter un d\u00e9tournement de connexion par code QR (alias QRLJacking<\/a>) attaque contre des services tels que WhatsApp qui permettent la connexion via des codes QR.<\/p>\n “Ils ont depuis construit une client\u00e8le ax\u00e9e sur le ciblage des institutions financi\u00e8res europ\u00e9ennes”, Resecurity dit<\/a>. “Actuellement, on estime que des centaines de cybercriminels utilisent ce kit pour commettre des fraudes, laissant les victimes avec des comptes bancaires vides.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/More_eggs-Un-logiciel-malveillant-deguise-en-CV-cible-les-recruteurs.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n