Les acteurs malveillants attirent les utilisateurs sans m\u00e9fiance avec des versions gratuites ou pirat\u00e9es de logiciels commerciaux pour diffuser un chargeur de malware appel\u00e9 Hijack Loader, qui d\u00e9ploie ensuite un voleur d’informations appel\u00e9 Vidar Stealer.<\/p>\n
“Des adversaires ont r\u00e9ussi \u00e0 inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger des fichiers d’archives prot\u00e9g\u00e9s par mot de passe contenant des copies trojanis\u00e9es d’une application Cisco Webex Meetings (ptService.exe)”, Ale Houspanossian, chercheur en s\u00e9curit\u00e9 chez Trellix. dit<\/a> dans une analyse de lundi.<\/p>\n “Lorsque des victimes sans m\u00e9fiance ont extrait et ex\u00e9cut\u00e9 un fichier binaire ‘Setup.exe’, l’application Cisco Webex Meetings a secr\u00e8tement charg\u00e9 un chargeur de malware furtif, ce qui a conduit \u00e0 l’ex\u00e9cution d’un module de vol d’informations.”<\/p>\n Le point de d\u00e9part est un fichier d’archive RAR qui contient un nom ex\u00e9cutable “Setup.exe”, mais il s’agit en r\u00e9alit\u00e9 d’une copie du module ptService de Cisco Webex Meetings.<\/p>\n Ce qui rend la campagne remarquable, c’est l’utilisation de Techniques de chargement lat\u00e9ral des DLL<\/a> pour lancer furtivement Hijack Loader (alias DOILoader ou IDAT Loader), qui agit ensuite comme un conduit pour supprimer Vidar Stealer au moyen d’un script AutoIt.<\/p>\n “Le malware utilise une technique connue pour contourner le contr\u00f4le de compte d’utilisateur (UAC) et exploiter l’interface COM CMSTPLUA pour une \u00e9l\u00e9vation de privil\u00e8ges”, a d\u00e9clar\u00e9 Houspanossian. “Une fois l’\u00e9l\u00e9vation des privil\u00e8ges r\u00e9ussie, le malware s’est ajout\u00e9 \u00e0 la liste d’exclusion de Windows Defender pour \u00e9vasion de la d\u00e9fense.”<\/p>\n La cha\u00eene d\u2019attaque, en plus d\u2019utiliser Vidar Stealer pour siphonner les informations d\u2019identification sensibles des navigateurs Web, exploite des charges utiles suppl\u00e9mentaires pour d\u00e9ployer un mineur de cryptomonnaie sur l\u2019h\u00f4te compromis.<\/p>\n Cette divulgation fait suite \u00e0 une augmentation des campagnes ClearFake qui incitent les visiteurs du site \u00e0 ex\u00e9cuter manuellement un script PowerShell pour r\u00e9soudre un probl\u00e8me suppos\u00e9 lors de l’affichage des pages Web, une technique pr\u00e9c\u00e9demment divulgu\u00e9e par ReliaQuest \u00e0 la fin du mois dernier.<\/p>\n Le script PowerShell sert ensuite de rampe de lancement pour Hijack Loader, qui d\u00e9livre finalement le malware Lumma Stealer. Le voleur est \u00e9galement \u00e9quip\u00e9 pour t\u00e9l\u00e9charger trois charges utiles suppl\u00e9mentaires, dont Amadey Loader, un t\u00e9l\u00e9chargeur qui lance le mineur XMRig, et un malware clipper pour rediriger les transactions cryptographiques vers des portefeuilles contr\u00f4l\u00e9s par les attaquants.<\/p>\n “Amadey a \u00e9t\u00e9 observ\u00e9 en train de t\u00e9l\u00e9charger d’autres charges utiles, par exemple un malware bas\u00e9 sur Go qui serait JaskaGO”, ont d\u00e9clar\u00e9 les chercheurs de Proofpoint Tommy Madjar, Dusty Miller et Selena Larson. dit<\/a>.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9tect\u00e9 \u00e0 la mi-avril 2024 un autre cluster d’activit\u00e9 baptis\u00e9 ClickFix, qui utilisait des leurres de mise \u00e0 jour de navigateur d\u00e9fectueux pour attirer les visiteurs de sites compromis afin de propager Vidar Stealer en utilisant un m\u00e9canisme similaire impliquant la copie et l’ex\u00e9cution de code PowerShell.<\/p>\n Un autre acteur malveillant qui a adopt\u00e9 la m\u00eame tactique d’ing\u00e9nierie sociale dans ses campagnes de spam est TA571, qui a \u00e9t\u00e9 observ\u00e9 envoyant des e-mails avec des pi\u00e8ces jointes HTML qui, une fois ouvertes, affichent un message d’erreur : \u00ab L’extension \u00ab Word Online \u00bb n’est pas install\u00e9e dans votre navigateur. “.<\/p>\n Le message propose \u00e9galement deux options\u00a0: “Comment r\u00e9parer” et “R\u00e9parer automatiquement”. Si une victime s\u00e9lectionne la premi\u00e8re option, une commande PowerShell cod\u00e9e en Base64 est copi\u00e9e dans le presse-papiers de l’ordinateur, suivie d’instructions pour lancer un terminal PowerShell et cliquer avec le bouton droit sur la fen\u00eatre de la console pour coller le contenu et ex\u00e9cuter le code responsable de l’ex\u00e9cution d’un programme d’installation MSI. d’un script Visual Basic (VBS).<\/p>\n De m\u00eame, les utilisateurs qui finissent par s\u00e9lectionner \u00ab Correction automatique \u00bb voient appara\u00eetre les fichiers h\u00e9berg\u00e9s par WebDAV nomm\u00e9s \u00ab fix.msi \u00bb ou \u00ab fix.vbs \u00bb dans l’Explorateur Windows en profitant du gestionnaire de protocole \u00ab search-ms : \u00bb.<\/p>\n Quelle que soit l’option choisie, l’ex\u00e9cution du fichier MSI aboutit \u00e0 l’installation de Matanbuchus, tandis que l’ex\u00e9cution du fichier VBS entra\u00eene l’ex\u00e9cution de DarkGate.<\/p>\n D’autres variantes de la campagne ont \u00e9galement abouti \u00e0 la distribution de NetSupport RAT, soulignant les tentatives de modification et de mise \u00e0 jour des leurres et des cha\u00eenes d’attaque malgr\u00e9 le fait qu’elles n\u00e9cessitent une interaction significative de la part de l’utilisateur pour r\u00e9ussir.<\/p>\n “L’utilisation l\u00e9gitime et les nombreuses fa\u00e7ons de stocker le code malveillant, ainsi que le fait que la victime ex\u00e9cute manuellement le code malveillant sans aucune association directe avec un fichier, rendent la d\u00e9tection de ce type de menaces difficile”, a d\u00e9clar\u00e9 Proofpoint.<\/p>\n “Comme les logiciels antivirus et les EDR auront des probl\u00e8mes pour inspecter le contenu du presse-papiers, la d\u00e9tection et le blocage doivent \u00eatre mis en place avant que le code HTML\/site malveillant ne soit pr\u00e9sent\u00e9 \u00e0 la victime.”<\/p>\n Ce d\u00e9veloppement intervient \u00e9galement alors qu’eSentire a r\u00e9v\u00e9l\u00e9 une campagne de malware qui exploite des sites Web similaires usurpant l’identit\u00e9 d’Indeed.[.]com pour supprimer le malware voleur d’informations SolarMarker via un document leurre qui pr\u00e9tend proposer des id\u00e9es de consolidation d’\u00e9quipe.<\/p>\n “SolarMarker utilise des techniques d’empoisonnement par l’optimisation des moteurs de recherche (SEO) pour manipuler les r\u00e9sultats des moteurs de recherche et augmenter la visibilit\u00e9 des liens trompeurs”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9. dit<\/a>.<\/p>\n “L’utilisation par les attaquants de tactiques de r\u00e9f\u00e9rencement pour diriger les utilisateurs vers des sites malveillants souligne l’importance d’\u00eatre prudent lorsque l’on clique sur les r\u00e9sultats des moteurs de recherche, m\u00eame s’ils semblent l\u00e9gitimes.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Les-cybercriminels-exploitent-les-leurres-des-logiciels-libres-pour-deployer.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n