Les utilisateurs de langue chinoise sont la cible d’un groupe d’activit\u00e9s de menace in\u00e9dit nomm\u00e9 Arachn\u00e9 du Vide<\/strong> qui utilise des fichiers Windows Installer (MSI) malveillants pour les r\u00e9seaux priv\u00e9s virtuels (VPN) afin de fournir un cadre de commande et de contr\u00f4le (C&C) appel\u00e9 Winos 4.0.<\/p>\n “La campagne fait \u00e9galement la promotion de fichiers MSI compromis int\u00e9gr\u00e9s \u00e0 des nudificateurs et \u00e0 des logiciels de g\u00e9n\u00e9ration de pornographie deepfake, ainsi que des technologies vocales et faciales d’IA”, ont d\u00e9clar\u00e9 Peter Girnus, Aliakbar Zahravi et Ahmed Mohamed Ibrahim, chercheurs de Trend Micro. dit<\/a> dans un rapport technique publi\u00e9 aujourd’hui.<\/p>\n “La campagne utilise [Search Engine Optimization] tactiques d’empoisonnement et plateformes de m\u00e9dias sociaux et de messagerie pour distribuer des logiciels malveillants.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a d\u00e9couvert le nouveau groupe d’acteurs mena\u00e7ants d\u00e9but avril 2024, a d\u00e9clar\u00e9 que les attaques impliquaient la publicit\u00e9 de logiciels populaires tels que Google Chrome, LetsVPN, QuickVPN et un pack linguistique Telegram pour le chinois simplifi\u00e9 afin de distribuer Winos. D\u2019autres cha\u00eenes d\u2019attaque exploitent des installateurs d\u00e9tourn\u00e9s propag\u00e9s sur les cha\u00eenes Telegram en langue chinoise. <\/p>\n Les liens apparus via des tactiques de r\u00e9f\u00e9rencement black hat pointent vers une infrastructure d\u00e9di\u00e9e mise en place par l’adversaire pour mettre en sc\u00e8ne les installateurs sous la forme d’archives ZIP. Pour les attaques ciblant les cha\u00eenes Telegram, les installateurs MSI et les archives ZIP sont directement h\u00e9berg\u00e9s sur la plateforme de messagerie.<\/p>\n L\u2019utilisation d\u2019un pack de langue chinoise malveillant est int\u00e9ressante notamment parce qu\u2019elle pose une \u00e9norme surface d\u2019attaque. D’autres types de logiciels pr\u00e9tendent offrir des capacit\u00e9s permettant de g\u00e9n\u00e9rer de fausses vid\u00e9os pornographiques non consensuelles \u00e0 utiliser dans escroqueries par sextorsion<\/a>technologies d\u2019IA qui pourraient \u00eatre utilis\u00e9es pour enl\u00e8vement virtuel<\/a>ainsi que des outils de modification de la voix et d’\u00e9change de visage.<\/p>\n Les programmes d’installation sont con\u00e7us pour modifier les r\u00e8gles de pare-feu afin d’autoriser le trafic entrant et sortant associ\u00e9 au logiciel malveillant lorsqu’il est connect\u00e9 aux r\u00e9seaux publics.<\/p>\n Il supprime \u00e9galement un chargeur qui d\u00e9crypte et ex\u00e9cute une charge utile de deuxi\u00e8me \u00e9tape en m\u00e9moire, qui lance ensuite un script Visual Basic (VBS) pour configurer la persistance sur l’h\u00f4te et d\u00e9clencher l’ex\u00e9cution d’un script batch inconnu et fournir le framework Winos 4.0 C&C. au moyen d’un stager qui \u00e9tablit des communications C&C avec un serveur distant.<\/p>\n Implant \u00e9crit en C++, Winos 4.0 est \u00e9quip\u00e9 pour effectuer la gestion de fichiers, le d\u00e9ni de service distribu\u00e9 (DDoS) \u00e0 l’aide de TCP\/UDP\/ICMP\/HTTP, la recherche de disque, le contr\u00f4le de webcam, la capture d’\u00e9cran, l’enregistrement de microphone, l’enregistrement de frappe et l’acc\u00e8s au shell \u00e0 distance. .<\/p>\n La complexit\u00e9 de la porte d\u00e9rob\u00e9e est soulign\u00e9e par un syst\u00e8me bas\u00e9 sur un plugin qui r\u00e9alise les fonctionnalit\u00e9s susmentionn\u00e9es via un ensemble de 23 composants d\u00e9di\u00e9s compil\u00e9s pour les variantes 32 et 64 bits. Il peut \u00eatre encore augment\u00e9 via des plugins externes int\u00e9gr\u00e9s par les acteurs de la menace eux-m\u00eames en fonction de leurs besoins.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Le-nouvel-acteur-menacant-Void-Arachne-cible-les.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n