Un nouveau type de malware appel\u00e9 UULoader est utilis\u00e9 par les acteurs malveillants pour diffuser des charges utiles de niveau sup\u00e9rieur telles que Gh0st RAT et Mimiquitas<\/a>.<\/p>\n L’\u00e9quipe de recherche de Cyberint, qui a d\u00e9couvert le malware, a d\u00e9clar\u00e9 qu’il \u00e9tait distribu\u00e9 sous la forme d’installateurs malveillants pour des applications l\u00e9gitimes ciblant les locuteurs cor\u00e9ens et chinois.<\/p>\n Il existe des preuves indiquant que UULoader est l’\u0153uvre d’un locuteur chinois en raison de la pr\u00e9sence de cha\u00eenes chinoises dans les fichiers de base de donn\u00e9es du programme (PDB) int\u00e9gr\u00e9s dans le fichier DLL.<\/p>\n \u00ab Les fichiers \u00ab\u00a0de base\u00a0\u00bb d’UULoader sont contenus dans un fichier d’archive Microsoft Cabinet (.cab) qui contient deux ex\u00e9cutables principaux (un .exe et un .dll) dont l’en-t\u00eate de fichier a \u00e9t\u00e9 supprim\u00e9 \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. dit<\/a> dans un rapport technique partag\u00e9 avec The Hacker News.<\/p>\n L’un des ex\u00e9cutables est un binaire l\u00e9gitime susceptible de chargement lat\u00e9ral de DLL, qui est utilis\u00e9 pour charger lat\u00e9ralement le fichier DLL qui charge finalement l’\u00e9tape finale, un fichier d’obscurcissement nomm\u00e9 \u00ab XamlHost.sys \u00bb qui n’est rien d’autre qu’un outil d’acc\u00e8s \u00e0 distance tel que Gh0st RAT ou le collecteur d’informations d’identification Mimikatz.<\/p>\n Le fichier d’installation MSI contient un script Visual Basic (.vbs) charg\u00e9 de lancer l’ex\u00e9cutable (par exemple Realtek) avec quelques exemples UULoader ex\u00e9cutant \u00e9galement un fichier leurre comme m\u00e9canisme de distraction.<\/p>\n \u00ab Cela correspond g\u00e9n\u00e9ralement \u00e0 ce que le fichier .msi pr\u00e9tend \u00eatre \u00bb, a d\u00e9clar\u00e9 Cyberint. \u00ab Par exemple, s’il essaie de se faire passer pour une \u00ab mise \u00e0 jour de Chrome \u00bb, le leurre sera une v\u00e9ritable mise \u00e0 jour l\u00e9gitime de Chrome. \u00bb<\/p>\n Ce n\u2019est pas la premi\u00e8re fois que des installateurs Google Chrome fictifs conduisent au d\u00e9ploiement du RAT Gh0st. Le mois dernier, eSentire a d\u00e9crit une cha\u00eene d\u2019attaque ciblant les utilisateurs chinois de Windows qui utilisaient un faux site Google Chrome pour diffuser le cheval de Troie d\u2019acc\u00e8s \u00e0 distance.<\/p>\n Cette \u00e9volution intervient alors que des acteurs malveillants ont \u00e9t\u00e9 observ\u00e9s en train de cr\u00e9er des milliers de sites de leurres sur le th\u00e8me des cryptomonnaies, utilis\u00e9s pour des attaques de phishing ciblant les utilisateurs de services de portefeuille de cryptomonnaies populaires comme Coinbase, Exodus et MetaMask, entre autres.<\/p>\n \u00ab Ces acteurs utilisent des services d’h\u00e9bergement gratuits tels que Gitbook et Webflow pour cr\u00e9er des sites de leurre sur des sous-domaines de portefeuilles cryptographiques typosquatteurs \u00bb, a d\u00e9clar\u00e9 Symantec, propri\u00e9t\u00e9 de Broadcom. dit<\/a>\u00ab Ces sites attirent les victimes potentielles avec des informations sur les portefeuilles de crypto-monnaies et des liens de t\u00e9l\u00e9chargement qui m\u00e8nent en r\u00e9alit\u00e9 \u00e0 des URL malveillantes. \u00bb<\/p>\n Ces URL servent de syst\u00e8me de distribution du trafic (TDS) redirigeant les utilisateurs vers du contenu de phishing ou vers des pages inoffensives si l’outil d\u00e9termine que le visiteur est un chercheur en s\u00e9curit\u00e9.<\/p>\n Des campagnes de phishing ont \u00e9galement \u00e9t\u00e9 mascarade<\/a> en tant qu’entit\u00e9s gouvernementales l\u00e9gitimes en Inde et aux \u00c9tats-Unis pour rediriger les utilisateurs vers de faux domaines qui collectent des informations sensibles, qui peuvent \u00eatre exploit\u00e9es dans de futures op\u00e9rations pour d’autres escroqueries, l’envoi d’e-mails de phishing, la diffusion de d\u00e9sinformation\/m\u00e9sinformation ou la distribution de logiciels malveillants.<\/p>\n Certaines de ces attaques se distinguent par l’utilisation abusive de la plateforme Dynamics 365 Marketing de Microsoft pour cr\u00e9er des sous-domaines et envoyer des e-mails de phishing, \u00e9chappant ainsi aux filtres de messagerie. Ces attaques ont \u00e9t\u00e9 baptis\u00e9es Arnaque de l’oncle<\/a> \u00e9tant donn\u00e9 que ces courriels usurpent l\u2019identit\u00e9 de la General Services Administration (GSA) des \u00c9tats-Unis.<\/p>\n Les efforts d’ing\u00e9nierie sociale ont encore profit\u00e9 de la popularit\u00e9 de la vague d’intelligence artificielle g\u00e9n\u00e9rative (IA) pour mettre en place des domaines frauduleux imitant OpenAI ChatGPT afin de faire prolif\u00e9rer les activit\u00e9s suspectes et malveillantes, notamment le phishing, les graywares, les ransomwares et le commandement et contr\u00f4le (C2).<\/p>\n \u00ab Il est remarquable de constater que plus de 72 % des domaines s’associent \u00e0 des applications GenAI populaires en incluant des mots-cl\u00e9s tels que gpt ou chatgpt \u00bb, Palo Alto Networks Unit 42 dit<\/a> dans une analyse le mois dernier. \u00ab Parmi tout le trafic vers ces [newly registered domains]35 % \u00e9taient dirig\u00e9s vers des domaines suspects.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Un-nouveau-malware-UULoader-distribue-Gh0st-RAT-et-Mimikatz-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n