Le malware naissant connu sous le nom de Chargement SSL<\/strong> est livr\u00e9 au moyen d’un chargeur jusqu’alors non document\u00e9 appel\u00e9 PhantomLoader, selon les conclusions de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Intezer.<\/p>\n “Le chargeur est ajout\u00e9 \u00e0 une DLL l\u00e9gitime, g\u00e9n\u00e9ralement des produits EDR ou AV, en appliquant un correctif binaire au fichier et en employant des techniques d’auto-modification pour \u00e9chapper \u00e0 la d\u00e9tection”, chercheurs en s\u00e9curit\u00e9 Nicole Fishbein et Ryan Robinson. dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n SSLoad, probablement propos\u00e9 \u00e0 d’autres acteurs malveillants dans le cadre d’un mod\u00e8le Malware-as-a-Service (MaaS) en raison de ses diff\u00e9rentes m\u00e9thodes de livraison, infiltre les syst\u00e8mes via des e-mails de phishing, effectue des reconnaissances et transmet d’autres types de logiciels malveillants aux victimes.<\/p>\n Des rapports ant\u00e9rieurs de Palo Alto Networks Unit 42 et Securonix ont r\u00e9v\u00e9l\u00e9 l’utilisation de SSLoad pour d\u00e9ployer Cobalt Strike, un logiciel de simulation d’adversaire l\u00e9gitime souvent utilis\u00e9 \u00e0 des fins de post-exploitation. Le malware est d\u00e9tect\u00e9 depuis avril 2024.<\/p>\n Les cha\u00eenes d’attaque impliquent g\u00e9n\u00e9ralement l’utilisation d’un programme d’installation MSI qui, une fois lanc\u00e9, lance la s\u00e9quence d’infection. Plus pr\u00e9cis\u00e9ment, cela conduit \u00e0 l’ex\u00e9cution de PhantomLoader, une DLL 32 bits \u00e9crite en C\/C++ qui se fait passer pour un module DLL pour un logiciel antivirus appel\u00e9 360 Total Security (“MenuEx.dll<\/a>“).<\/p>\n Le malware de premi\u00e8re \u00e9tape est con\u00e7u pour extraire et ex\u00e9cuter la charge utile, une DLL de t\u00e9l\u00e9chargement bas\u00e9e sur Rust qui, \u00e0 son tour, r\u00e9cup\u00e8re la charge utile SSLoad principale \u00e0 partir d’un serveur distant, dont les d\u00e9tails sont cod\u00e9s dans un canal Telegram contr\u00f4l\u00e9 par un acteur et que les serveurs comme r\u00e9solveur de chute morte.<\/p>\n \u00c9galement \u00e9crite en Rust, la charge utile finale empreinte le syst\u00e8me compromis et envoie les informations sous la forme d’une cha\u00eene JSON au serveur de commande et de contr\u00f4le (C2), apr\u00e8s quoi le serveur r\u00e9pond avec une commande pour t\u00e9l\u00e9charger davantage de logiciels malveillants.<\/p>\n “SSLoad d\u00e9montre sa capacit\u00e9 \u00e0 rassembler des reconnaissances, \u00e0 tenter d’\u00e9chapper \u00e0 la d\u00e9tection et \u00e0 d\u00e9ployer d’autres charges utiles gr\u00e2ce \u00e0 diverses m\u00e9thodes et techniques de livraison”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant que son d\u00e9cryptage dynamique de cha\u00eenes et ses mesures anti-d\u00e9bogage “soulignent sa complexit\u00e9 et son adaptabilit\u00e9”.<\/p>\n Ce d\u00e9veloppement intervient alors que des campagnes de phishing ont \u00e9galement \u00e9t\u00e9 observ\u00e9es diffusant des chevaux de Troie d’acc\u00e8s \u00e0 distance tels que RAT JScript<\/a> et Remcos RAT<\/a> pour permettre le fonctionnement persistant et l’ex\u00e9cution des commandes re\u00e7ues du serveur.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Les-cybercriminels-utilisent-PhantomLoader-pour-distribuer-le-logiciel-malveillant-SSLoad.jpg\")
<\/a><\/center><\/div>\n