Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une version mise \u00e0 jour d’un malware appel\u00e9e Vall\u00e9eRAT<\/strong> qui est distribu\u00e9 dans le cadre d’une nouvelle campagne.<\/p>\n “Dans la derni\u00e8re version, ValleyRAT a introduit de nouvelles commandes, telles que la capture de captures d’\u00e9cran, le filtrage des processus, l’arr\u00eat forc\u00e9 et l’effacement des journaux d’\u00e9v\u00e9nements Windows”, ont d\u00e9clar\u00e9 Muhammed Irfan VA et Manisha Ramcharan Prajapati, chercheurs de Zscaler ThreatLabz. dit<\/a>.<\/p>\n ValleyRAT avait d\u00e9j\u00e0 \u00e9t\u00e9 document\u00e9 par QiAnXin et Proofpoint en 2023 dans le cadre d’une campagne de phishing ciblant les utilisateurs sinophones et les organisations japonaises qui distribuait diverses familles de malwares telles que Purple Fox et une variante du cheval de Troie Gh0st RAT connue sous le nom de Sainbox RAT (alias FatalRAT).<\/p>\n Le malware a \u00e9t\u00e9 \u00e9valu\u00e9 comme \u00e9tant l’\u0153uvre d’un acteur malveillant bas\u00e9 en Chine, dot\u00e9 de capacit\u00e9s permettant de collecter des informations sensibles et de d\u00e9poser des charges utiles suppl\u00e9mentaires sur des h\u00f4tes compromis.<\/p>\n Le point de d\u00e9part est un t\u00e9l\u00e9chargeur qui utilise un serveur de fichiers HTTP (HFS) pour r\u00e9cup\u00e9rer un fichier nomm\u00e9 \u00ab NTUSER.DXM \u00bb qui est d\u00e9cod\u00e9 pour extraire un fichier DLL responsable du t\u00e9l\u00e9chargement de \u00ab client.exe \u00bb \u00e0 partir du m\u00eame serveur.<\/p>\n La DLL d\u00e9crypt\u00e9e est \u00e9galement con\u00e7ue pour d\u00e9tecter et mettre fin aux solutions anti-malware de Qihoo 360 et WinRAR dans le but d’\u00e9chapper \u00e0 l’analyse, apr\u00e8s quoi le t\u00e9l\u00e9chargeur proc\u00e8de \u00e0 la r\u00e9cup\u00e9ration de trois autres fichiers\u00a0: “WINWORD2013.EXE”, “wwlib.dll” et “xig.ppt” \u2013 depuis le serveur HFS.<\/p>\n Ensuite, le malware lance \u00ab WINWORD2013.EXE \u00bb, un ex\u00e9cutable l\u00e9gitime associ\u00e9 \u00e0 Microsoft Word, en l’utilisant pour chargement lat\u00e9ral<\/a> “wwlib.dll” qui, \u00e0 son tour, \u00e9tablit la persistance sur le syst\u00e8me et charge “xig.ppt” en m\u00e9moire.<\/p>\n “A partir de l\u00e0, le ‘xig.ppt’ d\u00e9chiffr\u00e9 poursuit le processus d’ex\u00e9cution en tant que m\u00e9canisme permettant de d\u00e9crypter et d’injecter du shellcode dans svchost.exe”, ont indiqu\u00e9 les chercheurs. “Le malware cr\u00e9e svchost.exe en tant que processus suspendu, alloue de la m\u00e9moire au sein du processus et y \u00e9crit du shellcode.”<\/p>\n Le shellcode, quant \u00e0 lui, contient la configuration n\u00e9cessaire pour contacter un serveur de commande et de contr\u00f4le (C2) et t\u00e9l\u00e9charger la charge utile ValleyRAT sous la forme d’un fichier DLL. <\/p>\n “ValleyRAT utilise un processus alambiqu\u00e9 en plusieurs \u00e9tapes pour infecter un syst\u00e8me avec la charge utile finale qui effectue la majorit\u00e9 des op\u00e9rations malveillantes”, ont expliqu\u00e9 les chercheurs. “Cette approche par \u00e9tapes combin\u00e9e au chargement lat\u00e9ral des DLL est probablement con\u00e7ue pour mieux \u00e9chapper aux solutions de s\u00e9curit\u00e9 bas\u00e9es sur l’h\u00f4te telles que les EDR et les applications antivirus.”<\/p>\n Ce d\u00e9veloppement intervient alors que les laboratoires Fortinet FortiGuard ont d\u00e9couvert une campagne de phishing ciblant les hispanophones avec une version mise \u00e0 jour d’un enregistreur de frappe et voleur d’informations appel\u00e9 Agent Tesla.<\/p>\n La cha\u00eene d’attaque tire parti des pi\u00e8ces jointes de Microsoft Excel Add-Ins (XLA) qui exploitent des failles de s\u00e9curit\u00e9 connues (CVE-2017-0199<\/a> et CVE-2017-11882<\/a>) pour d\u00e9clencher l’ex\u00e9cution d’un code JavaScript qui charge un script PowerShell, con\u00e7u pour lancer un chargeur afin de r\u00e9cup\u00e9rer l’agent Tesla \u00e0 partir d’un serveur distant.<\/p>\n “Cette variante collecte les informations d’identification et les contacts \u00e9lectroniques de l’appareil de la victime, le logiciel \u00e0 partir duquel elle collecte les donn\u00e9es et les informations de base de l’appareil de la victime”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Xiaopeng Zhang. dit<\/a>. “L’agent Tesla peut \u00e9galement collecter les contacts de messagerie de la victime si celle-ci utilise Thunderbird comme client de messagerie.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Le-logiciel-malveillant-ValleyRAT-lie-a-la-Chine-refait-surface.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n