Un groupe de menaces persistantes avanc\u00e9es (APT) appel\u00e9 Banshee du vide<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’exploiter une faille de s\u00e9curit\u00e9 r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans le moteur de navigateur Microsoft MHTML comme une faille zero-day pour fournir un voleur d’informations appel\u00e9 Atlantide<\/a>.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro, qui a observ\u00e9 l’activit\u00e9 \u00e0 la mi-mai 2024, a constat\u00e9 que la vuln\u00e9rabilit\u00e9 – identifi\u00e9e comme CVE-2024-38112 – a \u00e9t\u00e9 utilis\u00e9e dans le cadre d’une cha\u00eene d’attaque en plusieurs \u00e9tapes utilisant des fichiers de raccourcis Internet (URL) sp\u00e9cialement con\u00e7us.<\/p>\n \u00ab Les variantes de la campagne Atlantida ont \u00e9t\u00e9 tr\u00e8s actives tout au long de 2024 et ont \u00e9volu\u00e9 pour utiliser CVE-2024-38112 dans le cadre des cha\u00eenes d’infection Void Banshee \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Peter Girnus et Aliakbar Zahravi. dit<\/a>. \u00ab La capacit\u00e9 des groupes APT comme Void Banshee \u00e0 exploiter les services d\u00e9sactiv\u00e9s tels que [Internet Explorer] repr\u00e9sente une menace importante pour les organisations du monde entier.<\/p>\n Ces r\u00e9sultats concordent avec les r\u00e9v\u00e9lations ant\u00e9rieures de Check Point, qui a d\u00e9clar\u00e9 \u00e0 The Hacker News qu’une campagne exploitant la m\u00eame faille pour diffuser le voleur avait \u00e9t\u00e9 lanc\u00e9e. Il convient de noter que le CVE-2024-38112 a \u00e9t\u00e9 trait\u00e9 par Microsoft dans le cadre des mises \u00e0 jour du Patch Tuesday de la semaine derni\u00e8re.<\/p>\n Le fabricant de Windows a d\u00e9crit la faille CVE-2024-38112 comme une vuln\u00e9rabilit\u00e9 d’usurpation d’identit\u00e9 dans le moteur de navigation MSHTML (alias Trident) utilis\u00e9 dans le navigateur Internet Explorer, aujourd’hui abandonn\u00e9. Cependant, la Zero Day Initiative (ZDI) a affirm\u00e9 qu’il s’agissait d’une faille d’ex\u00e9cution de code \u00e0 distance.<\/p>\n \u00ab Que se passe-t-il lorsque le fournisseur d\u00e9clare que le correctif doit \u00eatre une mise \u00e0 jour de d\u00e9fense en profondeur plut\u00f4t qu’un CVE complet ? \u00bb, Dustin Childs de ZDI soulign\u00e9<\/a>\u00ab Que se passe-t-il lorsque le fournisseur d\u00e9clare que l’impact est une usurpation d’identit\u00e9, mais que le bogue entra\u00eene l’ex\u00e9cution de code \u00e0 distance ? \u00bb<\/p>\n Les cha\u00eenes d’attaque impliquent l’utilisation d’e-mails de spear-phishing int\u00e9grant des liens vers des fichiers d’archive ZIP h\u00e9berg\u00e9s sur des sites de partage de fichiers, qui contiennent des fichiers URL qui exploitent CVE-2024-38112 pour rediriger la victime vers un site compromis h\u00e9bergeant une application HTML malveillante (HTA).<\/p>\n L’ouverture du fichier HTA entra\u00eene l’ex\u00e9cution d’un script Visual Basic (VBS) qui, \u00e0 son tour, t\u00e9l\u00e9charge et ex\u00e9cute un script PowerShell charg\u00e9 de r\u00e9cup\u00e9rer un chargeur de chevaux de Troie .NET, qui utilise finalement le projet de shellcode Donut pour d\u00e9crypter et ex\u00e9cuter le voleur Atlantida dans la m\u00e9moire du processus RegAsm.exe.<\/p>\n Atlantida, calqu\u00e9 sur des voleurs open source comme N\u00e9crovoleur<\/a> et PredatorLe Voleur<\/a>est con\u00e7u pour extraire des fichiers, des captures d’\u00e9cran, la g\u00e9olocalisation et des donn\u00e9es sensibles des navigateurs Web et d’autres applications, notamment Telegram, Steam, FileZilla et divers portefeuilles de crypto-monnaie.<\/p>\n \u00ab En utilisant des fichiers URL sp\u00e9cialement con\u00e7us contenant le gestionnaire de protocole MHTML et la directive x-usc!, Void Banshee a pu acc\u00e9der et ex\u00e9cuter des fichiers d’application HTML (HTA) directement via le processus IE d\u00e9sactiv\u00e9 \u00bb, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n \u00ab Cette m\u00e9thode d’exploitation est similaire \u00e0 CVE-2021-40444, une autre vuln\u00e9rabilit\u00e9 MSHTML qui a \u00e9t\u00e9 utilis\u00e9e dans des attaques zero-day. \u00bb<\/p>\n On ne sait pas grand-chose sur Void Banshee, \u00e0 part le fait qu’il a pour habitude de cibler les r\u00e9gions d’Am\u00e9rique du Nord, d’Europe et d’Asie du Sud-Est pour le vol d’informations et le gain financier.<\/p>\n Cette \u00e9volution intervient alors que Cloudflare a r\u00e9v\u00e9l\u00e9 que les acteurs de la menace int\u00e8grent rapidement des exploits de preuve de concept (PoC) dans leur arsenal, parfois aussi rapidement que 22 minutes apr\u00e8s leur publication publique, comme observ\u00e9 dans le cas de CVE-2024-27198.<\/p>\n \u00ab La vitesse d’exploitation des CVE divulgu\u00e9s est souvent plus rapide que la vitesse \u00e0 laquelle les humains peuvent cr\u00e9er des r\u00e8gles WAF ou cr\u00e9er et d\u00e9ployer des correctifs pour att\u00e9nuer les attaques \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 d’infrastructure Web dit<\/a>.<\/p>\n Cela fait \u00e9galement suite \u00e0 la d\u00e9couverte d’une nouvelle campagne qui exploite les publicit\u00e9s Facebook faisant la promotion de faux th\u00e8mes Windows pour distribuer un autre voleur connu sous le nom de SYS01stealer qui vise \u00e0 d\u00e9tourner les comptes professionnels Facebook et \u00e0 propager davantage le malware.<\/p>\n \u00ab En tant que voleur d’informations, SYS01 se concentre sur l’exfiltration des donn\u00e9es du navigateur telles que les informations d’identification, l’historique et les cookies \u00bb, a d\u00e9clar\u00e9 Trustwave dit<\/a>\u00ab Une grande partie de sa charge utile est ax\u00e9e sur l’obtention de jetons d’acc\u00e8s pour les comptes Facebook, en particulier ceux disposant de comptes professionnels Facebook, ce qui peut aider les acteurs de la menace \u00e0 propager le malware. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/LAPT-Void-Banshee-exploite-une-faille-MHTML-de-Microsoft-pour.jpg\")
<\/a><\/center><\/section>\n<\/a><\/div>\n