Le logiciel malveillant connu sous le nom de GootLoader continue d’\u00eatre activement utilis\u00e9 par les acteurs malveillants cherchant \u00e0 fournir des charges utiles suppl\u00e9mentaires aux h\u00f4tes compromis.<\/p>\n
\u00ab Les mises \u00e0 jour de la charge utile GootLoader ont donn\u00e9 lieu \u00e0 plusieurs versions de GootLoader, GootLoader 3 \u00e9tant actuellement en utilisation active \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Cybereason dit<\/a> dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n \u00ab Bien que certains d\u00e9tails des charges utiles de GootLoader aient chang\u00e9 au fil du temps, les strat\u00e9gies d’infection et les fonctionnalit\u00e9s globales restent similaires \u00e0 celles de la r\u00e9surgence du malware en 2020. \u00bb<\/p>\n GootLoader, un chargeur de logiciels malveillants<\/a> Une partie du cheval de Troie bancaire Gootkit est li\u00e9e \u00e0 un acteur malveillant nomm\u00e9 Hive0127 (alias UNC2565). Il utilise JavaScript pour t\u00e9l\u00e9charger des outils de post-exploitation et est distribu\u00e9 via des tactiques d’empoisonnement d’optimisation des moteurs de recherche (SEO).<\/p>\n Il sert g\u00e9n\u00e9ralement de canal pour la livraison de diverses charges utiles telles que Cobalt Strike, Gootkit, IcedID, Kronos, REvil et SystemBC.<\/p>\n Ces derniers mois, les acteurs malveillants derri\u00e8re GootLoader ont \u00e9galement lanc\u00e9 leur propre outil de commandement et de contr\u00f4le (C2) et de mouvement lat\u00e9ral baptis\u00e9 GootBot, indiquant que le \u00ab groupe \u00e9tend son march\u00e9 pour gagner un public plus large pour ses gains financiers \u00bb.<\/p>\n Les cha\u00eenes d’attaque impliquent la compromission de sites Web pour h\u00e9berger la charge utile JavaScript de GootLoader en la faisant passer pour des documents et accords juridiques, qui, une fois lanc\u00e9s, configurent la persistance \u00e0 l’aide d’une t\u00e2che planifi\u00e9e et ex\u00e9cutent du JavaScript suppl\u00e9mentaire pour d\u00e9marrer un script PowerShell afin de collecter des informations syst\u00e8me et d’attendre d’autres instructions.<\/p>\n \u00ab Les sites qui h\u00e9bergent ces fichiers d’archives exploitent les techniques d’empoisonnement du r\u00e9f\u00e9rencement (SEO) pour attirer les victimes qui recherchent des fichiers li\u00e9s \u00e0 l’entreprise, tels que des mod\u00e8les de contrat ou des documents juridiques \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Ralph Villanueva, Kotaro Ogino et Gal Romano.<\/p>\n Les attaques se distinguent \u00e9galement par l’utilisation de l’encodage du code source, de l’obscurcissement du flux de contr\u00f4le et de l’inflation de la taille de la charge utile afin de r\u00e9sister \u00e0 l’analyse et \u00e0 la d\u00e9tection. Une autre technique consiste \u00e0 int\u00e9grer le malware dans des fichiers de biblioth\u00e8que JavaScript l\u00e9gitimes tels que jQuery, Lodash, Maplace.js et tui-chart.<\/p>\n \u00ab GootLoader a re\u00e7u plusieurs mises \u00e0 jour au cours de son cycle de vie, notamment des modifications des fonctionnalit\u00e9s d’\u00e9vasion et d’ex\u00e9cution \u00bb, ont conclu les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-malware-GootLoader-est-toujours-actif-et-deploie-de-nouvelles.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n