{"id":1202494,"date":"2024-06-17T06:32:46","date_gmt":"2024-06-17T08:32:46","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-pirates-exploitent-des-sites-web-legitimes-pour-fournir-une-porte-derobee-windows-badspace\/"},"modified":"2024-06-17T06:32:51","modified_gmt":"2024-06-17T08:32:51","slug":"les-pirates-exploitent-des-sites-web-legitimes-pour-fournir-une-porte-derobee-windows-badspace","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-pirates-exploitent-des-sites-web-legitimes-pour-fournir-une-porte-derobee-windows-badspace\/","title":{"rendered":"Les pirates exploitent des sites Web l\u00e9gitimes pour fournir une porte d\u00e9rob\u00e9e Windows BadSpace"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>17 juin 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>S\u00e9curit\u00e9 Web\/logiciels malveillants<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Des sites Web l\u00e9gitimes mais compromis sont utilis\u00e9s comme canal pour fournir une porte d\u00e9rob\u00e9e Windows baptis\u00e9e Mauvais espace<\/strong> sous couvert de fausses mises \u00e0 jour du navigateur.<\/p>\n

“L’auteur de la menace utilise une cha\u00eene d’attaque en plusieurs \u00e9tapes impliquant un site Web infect\u00e9, un serveur de commande et de contr\u00f4le (C2), dans certains cas une fausse mise \u00e0 jour du navigateur et un t\u00e9l\u00e9chargeur JScript pour d\u00e9ployer une porte d\u00e9rob\u00e9e dans le syst\u00e8me de la victime”, en allemand soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 G DATA dit<\/a> dans un rapport.<\/p>\n

Les d\u00e9tails du malware ont \u00e9t\u00e9 partag\u00e9s pour la premi\u00e8re fois par les chercheurs kevross33<\/a> et Gi7w0rm<\/a> le mois dernier.<\/p>\n

Tout commence avec un site Web compromis, y compris ceux construits sur WordPress, pour injecter du code int\u00e9grant une logique permettant de d\u00e9terminer si un utilisateur a d\u00e9j\u00e0 visit\u00e9 le site. <\/p>\n

S’il s’agit de la premi\u00e8re visite de l’utilisateur, le code collecte des informations sur l’appareil, l’adresse IP, l’agent utilisateur et l’emplacement, et les transmet \u00e0 un domaine cod\u00e9 en dur via une requ\u00eate HTTP GET.<\/p>\n

\"La<\/a><\/center><\/div>\n

La r\u00e9ponse du serveur recouvre ensuite le contenu de la page Web avec une fausse fen\u00eatre contextuelle de mise \u00e0 jour de Google Chrome pour supprimer directement le logiciel malveillant ou un t\u00e9l\u00e9chargeur JavaScript qui, \u00e0 son tour, t\u00e9l\u00e9charge et ex\u00e9cute BadSpace.<\/p>\n

Une analyse des serveurs C2 utilis\u00e9s dans la campagne a connexions d\u00e9couvertes<\/a> \u00e0 un malware connu appel\u00e9 SocGholish (alias FakeUpdates), un malware de t\u00e9l\u00e9chargement bas\u00e9 sur JavaScript qui se propage via le m\u00eame m\u00e9canisme.<\/p>\n

BadSpace, en plus d’utiliser des contr\u00f4les anti-sandbox et de configurer la persistance \u00e0 l’aide de t\u00e2ches planifi\u00e9es, est capable de collecter des informations syst\u00e8me et de traiter des commandes qui lui permettent de prendre des captures d’\u00e9cran, d’ex\u00e9cuter des instructions \u00e0 l’aide de cmd.exe, de lire et d’\u00e9crire des fichiers et de supprimer les t\u00e2ches planifi\u00e9es. t\u00e2che.<\/p>\n

Cette divulgation intervient alors qu’eSentire et Sucuri ont mis en garde contre diff\u00e9rentes campagnes exploitant de fausses mises \u00e0 jour de navigateur sur des sites compromis pour diffuser des voleurs d’informations et des chevaux de Troie d’acc\u00e8s \u00e0 distance.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n