Les utilisateurs parlant chinois sont la cible d\u2019une campagne en cours qui distribue un logiciel malveillant connu sous le nom de ValleyRAT.<\/p>\n
\u00ab ValleyRAT est un malware \u00e0 plusieurs \u00e9tapes qui utilise diverses techniques pour surveiller et contr\u00f4ler ses victimes et d\u00e9ployer des plugins arbitraires pour causer davantage de dommages \u00bb, expliquent Eduardo Altares et Joie Salvio, chercheurs de Fortinet FortiGuard Labs. dit<\/a>.<\/p>\n \u00ab Une autre caract\u00e9ristique notable de ce malware est son utilisation intensive de shellcode pour ex\u00e9cuter ses nombreux composants directement en m\u00e9moire, r\u00e9duisant ainsi consid\u00e9rablement son empreinte de fichier dans le syst\u00e8me de la victime. \u00bb<\/p>\n Les d\u00e9tails de la campagne sont apparus pour la premi\u00e8re fois en juin 2024, lorsque Zscaler ThreatLabz a d\u00e9taill\u00e9 des attaques impliquant une version mise \u00e0 jour du malware.<\/p>\n On ne sait pas exactement comment la derni\u00e8re it\u00e9ration de ValleyRAT est distribu\u00e9e, bien que les campagnes pr\u00e9c\u00e9dentes aient exploit\u00e9 des messages \u00e9lectroniques contenant des URL pointant vers des ex\u00e9cutables compress\u00e9s.<\/p>\n La s\u00e9quence d’attaque est un processus en plusieurs \u00e9tapes qui commence par un chargeur de premi\u00e8re \u00e9tape qui usurpe l’identit\u00e9 d’applications l\u00e9gitimes telles que Microsoft Office pour les faire para\u00eetre inoffensives (par exemple, \u00ab \u5de5\u5546\u5e74\u62a5\u5927\u5e08.exe \u00bb ou \u00ab \u8865\u5355\u5bf9\u63a5\u66f4\u65b0\u8bb0\u5f55txt.exe \u00bb). ).<\/p>\n Le lancement de l’ex\u00e9cutable entra\u00eene la suppression du document leurre et le chargement du shellcode pour passer \u00e0 la phase suivante de l’attaque. Le chargeur prend \u00e9galement des mesures pour v\u00e9rifier qu’il ne s’ex\u00e9cute pas sur une machine virtuelle.<\/p>\n Le shellcode est responsable de l’initialisation d’un module de balisage qui contacte un serveur de commande et de contr\u00f4le (C2) pour t\u00e9l\u00e9charger deux composants – RuntimeBroker et RemoteShellcode – tout en d\u00e9finissant la persistance sur l’h\u00f4te et en obtenant des privil\u00e8ges d’administrateur en exploitant un binaire l\u00e9gitime nomm\u00e9 fodhelper.exe et en r\u00e9alisant un contournement UAC.<\/p>\n La deuxi\u00e8me m\u00e9thode utilis\u00e9e pour l\u2019escalade des privil\u00e8ges concerne l\u2019abus de la Interface COM CMSTPLUA<\/a>une technique pr\u00e9c\u00e9demment adopt\u00e9e par les acteurs malveillants connect\u00e9s au Ransomware Avaddon<\/a> et \u00e9galement observ\u00e9 dans les r\u00e9centes campagnes Hijack Loader. <\/p>\n Dans une nouvelle tentative pour s’assurer que le logiciel malveillant s’ex\u00e9cute sans entrave sur la machine, il configure des r\u00e8gles d’exclusion pour Microsoft Defender Antivirus et proc\u00e8de \u00e0 l’arr\u00eat de divers processus li\u00e9s \u00e0 l’antivirus en fonction des noms de fichiers ex\u00e9cutables correspondants.<\/p>\n La t\u00e2che principale de RuntimeBroker est de r\u00e9cup\u00e9rer aupr\u00e8s du serveur C2 un composant nomm\u00e9 Loader, qui fonctionne de la m\u00eame mani\u00e8re que le chargeur de premi\u00e8re \u00e9tape et ex\u00e9cute le module de balisage pour r\u00e9p\u00e9ter le processus d’infection.<\/p>\n La charge utile du chargeur pr\u00e9sente \u00e9galement certaines caract\u00e9ristiques distinctes, notamment la r\u00e9alisation de v\u00e9rifications pour voir si elle s’ex\u00e9cute dans un bac \u00e0 sable et l’analyse du registre Windows \u00e0 la recherche de cl\u00e9s li\u00e9es \u00e0 des applications comme Tencent WeChat et Alibaba DingTalk, renfor\u00e7ant l’hypoth\u00e8se selon laquelle le malware cible exclusivement les syst\u00e8mes chinois.<\/p>\n D’autre part, RemoteShellcode est configur\u00e9 pour r\u00e9cup\u00e9rer le t\u00e9l\u00e9chargeur ValleyRAT \u00e0 partir du serveur C2, qui, ensuite, utilise des sockets UDP ou TCP pour se connecter au serveur et recevoir la charge utile finale.<\/p>\n ValleyRAT, attribu\u00e9 \u00e0 un groupe de menaces appel\u00e9 Silver Fox, est une porte d\u00e9rob\u00e9e compl\u00e8te capable de contr\u00f4ler \u00e0 distance les postes de travail compromis. Il peut prendre des captures d’\u00e9cran, ex\u00e9cuter des fichiers et charger des plugins suppl\u00e9mentaires sur le syst\u00e8me de la victime.<\/p>\n \u00ab Ce malware implique plusieurs composants charg\u00e9s \u00e0 diff\u00e9rentes \u00e9tapes et utilise principalement du shellcode pour les ex\u00e9cuter directement en m\u00e9moire, r\u00e9duisant consid\u00e9rablement sa trace de fichier dans le syst\u00e8me \u00bb, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n \u00ab Une fois que le logiciel malveillant a pris pied dans le syst\u00e8me, il prend en charge les commandes capables de surveiller les activit\u00e9s de la victime et de fournir des plugins arbitraires pour favoriser les intentions des acteurs de la menace. \u00bb<\/p>\n Ce d\u00e9veloppement intervient dans un contexte de campagnes de malspam en cours qui tentent d’exploiter une ancienne vuln\u00e9rabilit\u00e9 de Microsoft Office (CVE-2017-0199) pour ex\u00e9cuter du code malveillant et diffuser GuLoader, Remcos RAT et Sankeloader.<\/p>\n \u00ab CVE-2017-0199 vise toujours \u00e0 permettre l’ex\u00e9cution de code \u00e0 distance \u00e0 partir d’un fichier XLS \u00bb, a d\u00e9clar\u00e9 Symantec, propri\u00e9t\u00e9 de Broadcom. dit<\/a>\u00ab Les campagnes ont livr\u00e9 un fichier XLS malveillant avec un lien \u00e0 partir duquel un fichier HTA ou RTF distant serait ex\u00e9cut\u00e9 pour t\u00e9l\u00e9charger la charge utile finale. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/ValleyRAT-a-plusieurs-etapes-cible-les-utilisateurs-chinois-avec-des.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n