Une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans Microsoft Defender SmartScreen a \u00e9t\u00e9 exploit\u00e9e dans le cadre d’une nouvelle campagne con\u00e7ue pour diffuser des voleurs d’informations tels que ACR Stealer, Lumma et Meduza.<\/p>\n
Fortinet FortiGuard Labs a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 la campagne de vol ciblant l’Espagne, la Tha\u00eflande et les \u00c9tats-Unis en utilisant des fichiers pi\u00e9g\u00e9s exploitant CVE-2024-21412 (score CVSS : 8,1).<\/p>\n
Cette vuln\u00e9rabilit\u00e9 de gravit\u00e9 \u00e9lev\u00e9e permet \u00e0 un attaquant de contourner la protection SmartScreen et de d\u00e9poser des charges utiles malveillantes. Microsoft a r\u00e9solu ce probl\u00e8me dans le cadre de ses mises \u00e0 jour de s\u00e9curit\u00e9 mensuelles publi\u00e9es en f\u00e9vrier 2024.<\/p>\n
\u00ab Au d\u00e9part, les attaquants incitent les victimes \u00e0 cliquer sur un lien sp\u00e9cialement con\u00e7u vers un fichier URL con\u00e7u pour t\u00e9l\u00e9charger un fichier LNK \u00bb, explique Cara Lin, chercheuse en s\u00e9curit\u00e9. dit<\/a>. “Le fichier LNK t\u00e9l\u00e9charge ensuite un fichier ex\u00e9cutable contenant un [HTML Application] sc\u00e9nario.”<\/p>\n Le fichier HTA sert de conduit pour d\u00e9coder et d\u00e9crypter le code PowerShell charg\u00e9 de r\u00e9cup\u00e9rer un fichier PDF leurre et un injecteur de shellcode qui, \u00e0 son tour, conduit au d\u00e9ploiement de Meduza Stealer ou Hijack Loader, qui lance ensuite ACR Stealer ou Lumma.<\/p>\n Voleur ACR, \u00e9valu\u00e9<\/a> \u00eatre une version \u00e9volu\u00e9e du GrMsk Stealer, a \u00e9t\u00e9 annonc\u00e9 fin mars 2024 par un acteur malveillant nomm\u00e9 SheldIO sur le forum clandestin en langue russe RAMP.<\/p>\n “Ce voleur d’ACR cache son [command-and-control] avec une technique de r\u00e9solution de dead drop (DDR) sur le site Web de la communaut\u00e9 Steam”, a d\u00e9clar\u00e9 Lin, soulignant sa capacit\u00e9 \u00e0 siphonner des informations \u00e0 partir de navigateurs Web, de portefeuilles cryptographiques, d’applications de messagerie, de clients FTP, de clients de messagerie, de services VPN et de gestionnaires de mots de passe.<\/p>\n Il convient de noter que des attaques r\u00e9centes de Lumma Stealer ont \u00e9galement \u00e9t\u00e9 observ\u00e9es en utilisant la m\u00eame technique, ce qui permet aux adversaires de modifier plus facilement les domaines C2 \u00e0 tout moment et de rendre l’infrastructure plus r\u00e9siliente. selon<\/a> au Centre de renseignement de s\u00e9curit\u00e9 AhnLab (ASEC).<\/p>\n Cette r\u00e9v\u00e9lation intervient alors que CrowdStrike a r\u00e9v\u00e9l\u00e9<\/a> que les acteurs de la menace profitent de la panne de la semaine derni\u00e8re pour distribuer un voleur d’informations jusqu’alors non document\u00e9 appel\u00e9 Daolpu, ce qui en fait le dernier exemple de la retomb\u00e9es en cours<\/a> r\u00e9sultant d’une mise \u00e0 jour d\u00e9fectueuse qui a paralys\u00e9 des millions d’appareils Windows.<\/p>\n L’attaque implique l’utilisation d’un document Microsoft Word contenant des macros qui se fait passer pour une liste de manuels de r\u00e9cup\u00e9ration Microsoft instructions l\u00e9gitimes<\/a> \u00e9mis par le fabricant de Windows pour r\u00e9soudre le probl\u00e8me, l’utilisant comme leurre pour activer le processus d’infection.<\/p>\n Le Fichier DOCM<\/a>une fois ouvert, ex\u00e9cute la macro pour r\u00e9cup\u00e9rer un fichier DLL de deuxi\u00e8me \u00e9tape \u00e0 partir d’une t\u00e9l\u00e9commande qui est d\u00e9cod\u00e9 pour lancer Daolpu, un malware voleur \u00e9quip\u00e9 pour r\u00e9colter les informations d’identification et les cookies de Google Chrome, Microsoft Edge, Mozilla Firefox et d’autres navigateurs bas\u00e9s sur Chromium.<\/p>\n Elle fait \u00e9galement suite \u00e0 l\u2019\u00e9mergence de nouvelles familles de malwares voleurs<\/a> tels que Braodo et DeerStealer, alors m\u00eame que les cybercriminels exploitent des techniques de malvertising faisant la promotion de logiciels l\u00e9gitimes tels que Microsoft Teams pour d\u00e9ployer Atomic Stealer.<\/p>\n \u00ab Alors que les cybercriminels intensifient leurs campagnes de distribution, il devient plus dangereux de t\u00e9l\u00e9charger des applications via les moteurs de recherche \u00bb, explique J\u00e9r\u00f4me Segura, chercheur chez Malwarebytes. dit<\/a>\u00ab Les utilisateurs doivent naviguer entre le malvertising (r\u00e9sultats sponsoris\u00e9s) et l’empoisonnement SEO (sites Web compromis). \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Une-faille-de-Microsoft-Defender-exploitee-pour-fournir-des-voleurs.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n