Des chercheurs en cybers\u00e9curit\u00e9 ont mis en lumi\u00e8re une campagne de malware DarkGate de courte dur\u00e9e qui exploitait les partages de fichiers Samba pour lancer les infections.<\/p>\n
L’unit\u00e9 42 de Palo Alto Networks a d\u00e9clar\u00e9 que l’activit\u00e9 s’est \u00e9tendue sur les mois de mars et avril 2024, les cha\u00eenes d’infection utilisant des serveurs ex\u00e9cutant des partages de fichiers Samba publics h\u00e9bergeant des fichiers Visual Basic Script (VBS) et JavaScript. Les cibles comprenaient l’Am\u00e9rique du Nord, l’Europe et certaines r\u00e9gions d’Asie.<\/p>\n
\u00ab Il s’agit d’une campagne relativement courte qui illustre la mani\u00e8re dont les acteurs malveillants peuvent abuser de mani\u00e8re cr\u00e9ative d’outils et de services l\u00e9gitimes pour diffuser leurs logiciels malveillants \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Vishwa Thothathri, Yijie Sui, Anmol Maurya, Uday Pratap Singh et Brad Duncan. dit<\/a>.<\/p>\n DarkGate, qui est apparu pour la premi\u00e8re fois<\/a> en 2018, a \u00e9volu\u00e9<\/a> dans une offre de malware en tant que service (MaaS) utilis\u00e9e par un nombre \u00e9troitement contr\u00f4l\u00e9 de clients. Il est dot\u00e9 de fonctionnalit\u00e9s permettant de contr\u00f4ler \u00e0 distance les h\u00f4tes compromis, d’ex\u00e9cuter du code, d’exploiter des cryptomonnaies, de lancer des shells invers\u00e9s et de supprimer des fichiers. suppl\u00e9mentaire<\/a> charges utiles<\/a>.<\/p>\n Les attaques impliquant le logiciel malveillant ont particuli\u00e8rement connu une augmentation ces derniers mois \u00e0 la suite du d\u00e9mant\u00e8lement de l’infrastructure QakBot par les forces de l’ordre multinationales en ao\u00fbt 2023.<\/p>\n La campagne document\u00e9e par l’Unit\u00e9 42 commence avec des fichiers Microsoft Excel (.xlsx) qui, une fois ouverts, incitent les cibles \u00e0 cliquer sur un bouton Ouvrir int\u00e9gr\u00e9, qui, \u00e0 son tour, r\u00e9cup\u00e8re et ex\u00e9cute le code VBS h\u00e9berg\u00e9 sur un partage de fichiers Samba.<\/p>\n Le script PowerShell est configur\u00e9 pour r\u00e9cup\u00e9rer et ex\u00e9cuter un script PowerShell, qui est ensuite utilis\u00e9 pour t\u00e9l\u00e9charger un package DarkGate bas\u00e9 sur AutoHotKey. <\/p>\n Les s\u00e9quences alternatives utilisant des fichiers JavaScript au lieu de VBS ne sont pas diff\u00e9rentes dans la mesure o\u00f9 elles sont \u00e9galement con\u00e7ues pour t\u00e9l\u00e9charger et ex\u00e9cuter le script PowerShell de suivi.<\/p>\n DarkGate fonctionne en recherchant divers programmes anti-malware et en v\u00e9rifiant les informations du processeur pour d\u00e9terminer s’il s’ex\u00e9cute sur un h\u00f4te physique ou un environnement virtuel, ce qui lui permet d’entraver l’analyse. Il examine \u00e9galement les processus en cours d’ex\u00e9cution de l’h\u00f4te pour d\u00e9terminer la pr\u00e9sence d’outils d’ing\u00e9nierie inverse, de d\u00e9bogueurs ou de logiciels de virtualisation. <\/p>\n \u00ab Le trafic DarkGate C2 utilise des requ\u00eates HTTP non chiffr\u00e9es, mais les donn\u00e9es sont obscurcies et apparaissent sous forme de texte cod\u00e9 en Base64 \u00bb, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n \u00ab Alors que DarkGate continue d’\u00e9voluer et d’affiner ses m\u00e9thodes d’infiltration et de r\u00e9sistance \u00e0 l’analyse, il reste un puissant rappel de la n\u00e9cessit\u00e9 de d\u00e9fenses de cybers\u00e9curit\u00e9 robustes et proactives. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-malware-DarkGate-exploite-les-partages-de-fichiers-Samba-dans.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n