Des chercheurs en cybers\u00e9curit\u00e9 ont divulgu\u00e9 les d\u00e9tails d’une campagne de phishing en cours qui exploite des leurres sur le th\u00e8me du recrutement et de l’emploi pour proposer une porte d\u00e9rob\u00e9e bas\u00e9e sur Windows nomm\u00e9e WARMCOOKIE.<\/p>\n
“WARMCOOKIE semble \u00eatre un premier outil de porte d\u00e9rob\u00e9e utilis\u00e9 pour rep\u00e9rer les r\u00e9seaux victimes et d\u00e9ployer des charges utiles suppl\u00e9mentaires”, a d\u00e9clar\u00e9 Daniel Stepanic, chercheur \u00e0 Elastic Security Labs. dit<\/a> dans une nouvelle analyse. “Chaque \u00e9chantillon est compil\u00e9 avec un code cod\u00e9 en dur [command-and-control] Adresse IP et cl\u00e9 RC4.”<\/p>\n La porte d\u00e9rob\u00e9e est dot\u00e9e de fonctionnalit\u00e9s permettant de prendre des empreintes digitales sur les machines infect\u00e9es, de capturer des captures d’\u00e9cran et de supprimer davantage de programmes malveillants. La soci\u00e9t\u00e9 suit l’activit\u00e9 sous le nom REF6127.<\/p>\n Les cha\u00eenes d’attaques observ\u00e9es depuis fin avril impliquent l’utilisation de messages \u00e9lectroniques pr\u00e9tendant provenir de soci\u00e9t\u00e9s de recrutement telles que Hays, Michael Page et PageGroup, invitant les destinataires \u00e0 cliquer sur un lien int\u00e9gr\u00e9 pour afficher les d\u00e9tails d’une opportunit\u00e9 d’emploi.<\/p>\n Les utilisateurs qui finissent par cliquer sur le lien sont ensuite invit\u00e9s \u00e0 t\u00e9l\u00e9charger un document en r\u00e9solvant un d\u00e9fi CAPTCHA, apr\u00e8s quoi un fichier JavaScript (“Update_23_04_2024_5689382.js”) est supprim\u00e9.<\/p>\n “Ce script obscurci ex\u00e9cute PowerShell, lan\u00e7ant la premi\u00e8re t\u00e2che de chargement de WARMCOOKIE”, a d\u00e9clar\u00e9 Elastic. “Le script PowerShell abuse du service de transfert intelligent en arri\u00e8re-plan (MORCEAUX<\/a>) pour t\u00e9l\u00e9charger WARMCOOKIE.”<\/p>\n Un \u00e9l\u00e9ment crucial de la campagne est l\u2019utilisation d\u2019une infrastructure compromise pour h\u00e9berger l\u2019URL de phishing initiale, qui est ensuite utilis\u00e9e pour rediriger les victimes vers la page de destination appropri\u00e9e.<\/p>\n WARMCOOKIE, une DLL Windows, suit un processus en deux \u00e9tapes qui permet d’\u00e9tablir la persistance \u00e0 l’aide d’une t\u00e2che planifi\u00e9e et de lancer la fonctionnalit\u00e9 de base, mais pas avant d’effectuer une s\u00e9rie de contr\u00f4les anti-analyse pour contourner la d\u00e9tection.<\/p>\n La porte d\u00e9rob\u00e9e est con\u00e7ue pour capturer des informations sur l’h\u00f4te infect\u00e9 d’une mani\u00e8re similaire \u00e0 un artefact utilis\u00e9 dans le cadre d’une campagne pr\u00e9c\u00e9dente nomm\u00e9e R\u00e9sident<\/a> qui ciblait les organisations manufacturi\u00e8res, commerciales et de sant\u00e9.<\/p>\n Il prend \u00e9galement en charge les commandes permettant de lire et d’\u00e9crire dans des fichiers, d’ex\u00e9cuter des commandes \u00e0 l’aide de cmd.exe, de r\u00e9cup\u00e9rer la liste des applications install\u00e9es et de prendre des captures d’\u00e9cran.<\/p>\n “WARMCOOKIE est une porte d\u00e9rob\u00e9e r\u00e9cemment d\u00e9couverte qui gagne en popularit\u00e9 et est utilis\u00e9e dans des campagnes ciblant les utilisateurs du monde entier”, a d\u00e9clar\u00e9 Elastic.<\/p>\n Cette divulgation intervient alors que Trustwave SpiderLabs a d\u00e9taill\u00e9 une campagne de phishing sophistiqu\u00e9e qui utilise des leurres li\u00e9s aux factures et tire parti de la fonctionnalit\u00e9 de recherche Windows int\u00e9gr\u00e9e dans le code HTML pour d\u00e9ployer des logiciels malveillants.<\/p>\n \u00ab\u00a0La fonctionnalit\u00e9 fournie est relativement simple, permettant aux groupes de menaces qui ont besoin d’une porte d\u00e9rob\u00e9e l\u00e9g\u00e8re de surveiller les victimes et de d\u00e9ployer d’autres charges utiles dommageables telles que des ransomwares.\u00a0\u00bb<\/p>\n Les e-mails contiennent une archive ZIP contenant un fichier HTML, qui utilise l’h\u00e9ritage Windows \u00ab\u00a0recherche\u00a0:\u00a0\u00bb gestionnaire de protocole URI<\/a> pour afficher un fichier de raccourci (LNK) h\u00e9berg\u00e9 sur un serveur distant dans l’Explorateur Windows, donnant l’impression qu’il s’agit d’un r\u00e9sultat de recherche locale.<\/p>\n “Ce fichier LNK pointe vers un script batch (BAT) h\u00e9berg\u00e9 sur le m\u00eame serveur, qui, lors du clic de l’utilisateur, pourrait potentiellement d\u00e9clencher des op\u00e9rations malveillantes suppl\u00e9mentaires”, Trustwave dit<\/a>en ajoutant qu’il n’a pas pu r\u00e9cup\u00e9rer le script batch car le serveur ne r\u00e9pondait pas.<\/p>\n Il convient de noter que l’utilisation abusive de search-ms: et search: en tant que vecteur de distribution de logiciels malveillants a \u00e9t\u00e9 document\u00e9e par Trellix en juillet 2023.<\/p>\n “Bien que cette attaque n’utilise pas l’installation automatis\u00e9e de logiciels malveillants, elle oblige les utilisateurs \u00e0 r\u00e9pondre \u00e0 diverses invites et clics”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Cependant, cette technique obscurcit intelligemment la v\u00e9ritable intention de l’attaquant, en exploitant la confiance que les utilisateurs accordent aux interfaces famili\u00e8res et aux actions courantes comme l’ouverture de pi\u00e8ces jointes \u00e0 un e-mail.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Une-nouvelle-campagne-de-phishing-deploie-une-porte-derobee-WARMCOOKIE.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n