Le cheval de Troie d’acc\u00e8s \u00e0 distance connu sous le nom de Gh0st RAT a \u00e9t\u00e9 observ\u00e9 en train d’\u00eatre diffus\u00e9 par un \u00ab dropper \u00e9vasif \u00bb appel\u00e9 Gh0stGambit dans le cadre d’un syst\u00e8me de t\u00e9l\u00e9chargement furtif ciblant les utilisateurs Windows parlant chinois.<\/p>\n
Ces infections proviennent d’un faux site Web (\u00ab chrome-web[.]com”) qui diffuse des packages d’installation malveillants se faisant passer pour le navigateur Chrome de Google, ce qui indique que les utilisateurs qui recherchent le logiciel sur le Web sont cibl\u00e9s.<\/p>\n
Gh0st RAT est un malware de longue date observ\u00e9 dans la nature depuis 2008, se manifestant sous la forme de diff\u00e9rentes variantes au fil des ans dans des campagnes principalement orchestr\u00e9es par des groupes de cyberespionnage li\u00e9s \u00e0 la Chine.<\/p>\n
Certaines it\u00e9rations du cheval de Troie ont \u00e9galement \u00e9t\u00e9 d\u00e9ploy\u00e9es pr\u00e9c\u00e9demment en infiltrant des instances de serveur MS SQL mal s\u00e9curis\u00e9es, l’utilisant comme conduit pour installer le rootkit open source Hidden.<\/p>\n Selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 eSentire, qui d\u00e9couvert<\/a> La derni\u00e8re activit\u00e9, le ciblage des utilisateurs parlant chinois, est bas\u00e9e sur \u00ab l’utilisation de leurres Web en langue chinoise et d’applications chinoises cibl\u00e9es pour le vol de donn\u00e9es et l’\u00e9vasion de la d\u00e9fense par les logiciels malveillants \u00bb.<\/p>\n Le programme d’installation MSI t\u00e9l\u00e9charg\u00e9 \u00e0 partir du faux site Web contient deux fichiers, un ex\u00e9cutable d’installation Chrome l\u00e9gitime et un programme d’installation malveillant (\u00ab WindowsProgram.msi \u00bb), ce dernier \u00e9tant utilis\u00e9 pour lancer le shellcode responsable du chargement de Gh0stGambit.<\/p>\n Le dropper v\u00e9rifie \u00e0 son tour la pr\u00e9sence d’un logiciel de s\u00e9curit\u00e9 (par exemple, 360 Safe Guard et Microsoft Defender Antivirus) avant d’\u00e9tablir le contact avec un serveur de commande et de contr\u00f4le (C2) afin de r\u00e9cup\u00e9rer Gh0st RAT.<\/p>\n \u00ab Gh0st RAT est \u00e9crit en C++ et poss\u00e8de de nombreuses fonctionnalit\u00e9s, notamment la terminaison des processus, la suppression de fichiers, la capture audio et de captures d’\u00e9cran, l’ex\u00e9cution de commandes \u00e0 distance, l’enregistrement des frappes, l’exfiltration de donn\u00e9es, le masquage du registre, des fichiers et des r\u00e9pertoires via les capacit\u00e9s du rootkit, et bien d’autres encore \u00bb, a d\u00e9clar\u00e9 eSentire.<\/p>\n Il est \u00e9galement capable de supprimer Mimikatz, d’activer RDP sur les h\u00f4tes compromis, d’acc\u00e9der aux identifiants de compte associ\u00e9s \u00e0 Tencent QQ, d’effacer les journaux d’\u00e9v\u00e9nements Windows et d’effacer les donn\u00e9es de 360 \u200b\u200bSecure Browser, QQ Browser et Sogou Explorer.<\/p>\n La soci\u00e9t\u00e9 canadienne a d\u00e9clar\u00e9 que les parts d’artefacts se chevauchent avec une variante de Gh0st RAT suivie par l’AhnLab Security Intelligence Center (ASEC) sous le surnom de HiddenGh0st.<\/p>\n \u00ab Gh0st RAT a \u00e9t\u00e9 largement utilis\u00e9 et modifi\u00e9 par des groupes APT et criminels au cours des derni\u00e8res ann\u00e9es \u00bb, a d\u00e9clar\u00e9 eSentire. \u00ab Les r\u00e9centes d\u00e9couvertes mettent en \u00e9vidence la diffusion de cette menace via des t\u00e9l\u00e9chargements furtifs, incitant les utilisateurs \u00e0 t\u00e9l\u00e9charger un programme d’installation Chrome malveillant \u00e0 partir d’un site Web trompeur. \u00bb<\/p>\n \u00ab Le succ\u00e8s continu des t\u00e9l\u00e9chargements intempestifs renforce la n\u00e9cessit\u00e9 de programmes continus de formation et de sensibilisation \u00e0 la s\u00e9curit\u00e9. \u00bb<\/p>\n Cette \u00e9volution intervient alors que Symantec, propri\u00e9t\u00e9 de Broadcom, a d\u00e9clar\u00e9 avoir observ\u00e9 une augmentation des campagnes de phishing exploitant probablement des mod\u00e8les de langage volumineux (LLM) pour g\u00e9n\u00e9rer du code PowerShell et HTML malveillant utilis\u00e9 pour t\u00e9l\u00e9charger plusieurs chargeurs et voleurs.<\/p>\n Les e-mails contenaient \u00ab du code utilis\u00e9 pour t\u00e9l\u00e9charger diverses charges utiles, notamment Rhadamanthys, NetSupport RAT, CleanUpLoader (Broomstick, Oyster), ModiLoader (DBatLoader), LokiBot et Dunihi (H-Worm) \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Nguyen Hoang Giang et Yi Helen Zhang. dit<\/a>\u00ab L’analyse des scripts utilis\u00e9s pour diffuser les programmes malveillants lors de ces attaques sugg\u00e8re qu’ils ont \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9s \u00e0 l’aide de LLM. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-cheval-de-Troie-RAT-Gh0st-cible-les-utilisateurs-chinois.png\")
<\/a><\/center><\/section>\n