Des chercheurs en cybers\u00e9curit\u00e9 ont mis en lumi\u00e8re un module publicitaire qui pr\u00e9tend bloquer les publicit\u00e9s et les sites Web malveillants, tout en d\u00e9chargeant furtivement un composant de pilote de noyau qui donne aux attaquants la possibilit\u00e9 d’ex\u00e9cuter du code arbitraire avec des autorisations \u00e9lev\u00e9es sur les h\u00f4tes Windows.<\/p>\n
Le malware, baptis\u00e9 HotPage, tire son nom du programme d’installation \u00e9ponyme (\u00ab HotPage.exe \u00bb), selon de nouvelles d\u00e9couvertes d’ESET.<\/p>\n
Le programme d’installation \u00abd\u00e9ploie un pilote capable d’injecter du code dans des processus distants et deux biblioth\u00e8ques capables d’intercepter et de falsifier le trafic r\u00e9seau des navigateurs\u00bb, explique Romain Dumont, chercheur chez ESET. dit<\/a> dans une analyse technique publi\u00e9e aujourd’hui.<\/p>\n \u00ab Le logiciel malveillant peut modifier ou remplacer le contenu d’une page demand\u00e9e, rediriger l’utilisateur vers une autre page ou ouvrir une nouvelle page dans un nouvel onglet en fonction de certaines conditions. \u00bb<\/p>\n En plus d’exploiter ses capacit\u00e9s d’interception du trafic et de filtrage du navigateur pour afficher des publicit\u00e9s li\u00e9es au jeu, il est con\u00e7u pour collecter et exfiltrer les informations syst\u00e8me vers un serveur distant associ\u00e9 \u00e0 une soci\u00e9t\u00e9 chinoise nomm\u00e9e Hubei Dunwang Network Technology Co., Ltd (\u6e56\u5317\u76fe\u7f51\u7f51\u7edc\u79d1\u6280\u6709\u9650\u516c\u53f8).<\/p>\n Cela est r\u00e9alis\u00e9 au moyen d’un pilote, dont l’objectif principal est d’injecter les biblioth\u00e8ques dans les applications de navigateur et de modifier leur flux d’ex\u00e9cution pour changer l’URL \u00e0 laquelle on acc\u00e8de ou garantir que la page d’accueil de la nouvelle instance de navigateur Web est redirig\u00e9e vers une URL particuli\u00e8re sp\u00e9cifi\u00e9e dans une configuration.<\/p>\n Ce n’est pas tout. L’absence de listes de contr\u00f4le d’acc\u00e8s (ACL<\/a>) pour le pilote signifiait qu’un attaquant avec un compte non privil\u00e9gi\u00e9 pouvait l’exploiter pour obtenir des privil\u00e8ges \u00e9lev\u00e9s et ex\u00e9cuter du code en tant que compte NT AUTHORITYSystem.<\/p>\n \u00ab Ce composant du noyau laisse involontairement la porte ouverte \u00e0 d’autres menaces pour ex\u00e9cuter du code au niveau de privil\u00e8ge le plus \u00e9lev\u00e9 disponible dans le syst\u00e8me d’exploitation Windows : le compte syst\u00e8me \u00bb, a d\u00e9clar\u00e9 Dumont. \u00ab En raison de restrictions d’acc\u00e8s inappropri\u00e9es \u00e0 ce composant du noyau, n’importe quel processus peut communiquer avec lui et exploiter sa capacit\u00e9 d’injection de code pour cibler n’importe quel processus non prot\u00e9g\u00e9. \u00bb<\/p>\n Bien que la m\u00e9thode exacte par laquelle le programme d’installation est distribu\u00e9 ne soit pas connue, les preuves recueillies par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 slovaque montrent qu’il a \u00e9t\u00e9 pr\u00e9sent\u00e9 comme une solution de s\u00e9curit\u00e9 pour les cybercaf\u00e9s destin\u00e9e \u00e0 am\u00e9liorer l’exp\u00e9rience de navigation des utilisateurs en arr\u00eatant les publicit\u00e9s.<\/p>\n Le pilote int\u00e9gr\u00e9 est remarquable par le fait qu’il est sign\u00e9 par Microsoft. On pense que la soci\u00e9t\u00e9 chinoise a utilis\u00e9 le logiciel de Microsoft exigences relatives \u00e0 la signature du code du conducteur<\/a> et a r\u00e9ussi \u00e0 obtenir un certificat de v\u00e9rification \u00e9tendue (EV). Il a \u00e9t\u00e9 supprim\u00e9 de la Catalogue Windows Server<\/a> \u00e0 compter du 1er mai 2024.<\/p>\n Les pilotes en mode noyau doivent \u00eatre sign\u00e9s num\u00e9riquement pour \u00eatre charg\u00e9s par le syst\u00e8me d’exploitation Windows, une couche de d\u00e9fense importante \u00e9rig\u00e9e par Microsoft pour se prot\u00e9ger contre les pilotes malveillants qui pourraient \u00eatre utilis\u00e9s pour subvertir les contr\u00f4les de s\u00e9curit\u00e9 et interf\u00e9rer avec les processus syst\u00e8me.<\/p>\n Cela dit, Cisco Talos a r\u00e9v\u00e9l\u00e9 en juillet dernier comment des acteurs malveillants de langue maternelle chinoise exploitent une faille dans la politique de Microsoft Windows pour falsifier des signatures sur les pilotes en mode noyau.<\/p>\n \u00ab L’analyse de ce malware d’apparence plut\u00f4t g\u00e9n\u00e9rique a prouv\u00e9, une fois de plus, que les d\u00e9veloppeurs de logiciels publicitaires sont toujours pr\u00eats \u00e0 faire un effort suppl\u00e9mentaire pour atteindre leurs objectifs \u00bb, a d\u00e9clar\u00e9 Dumont.<\/p>\n \u00ab Non seulement ils ont d\u00e9velopp\u00e9 un composant de noyau avec un large ensemble de techniques pour manipuler les processus, mais ils ont \u00e9galement satisfait aux exigences impos\u00e9es par Microsoft pour obtenir un certificat de signature de code pour leur composant pilote. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Alerte-le-logiciel-publicitaire-HotPage-deguise-en-bloqueur-de.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n