Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une augmentation des infections de logiciels malveillants provenant de campagnes de malvertising distribuant un chargeur appel\u00e9 FakeBat.<\/p>\n
\u00ab Ces attaques sont de nature opportuniste et ciblent les utilisateurs \u00e0 la recherche de logiciels professionnels populaires \u00bb, a d\u00e9clar\u00e9 l’\u00e9quipe Mandiant Managed Defense. dit<\/a> dans un rapport technique. \u00ab L’infection utilise un programme d’installation MSIX trojanis\u00e9, qui ex\u00e9cute un script PowerShell pour t\u00e9l\u00e9charger une charge utile secondaire. \u00bb<\/p>\n FakeBat, \u00e9galement appel\u00e9 EugenLoader et PaykLoader, est li\u00e9 \u00e0 un acteur malveillant nomm\u00e9 Eugenfest. L’\u00e9quipe de renseignement sur les menaces appartenant \u00e0 Google traque le malware sous le nom de NUMOZYLOD et a attribu\u00e9 l’op\u00e9ration Malware-as-a-Service (MaaS) \u00e0 UNC4536.<\/p>\n Les cha\u00eenes d’attaque qui propagent le malware utilisent des techniques de t\u00e9l\u00e9chargement par t\u00e9l\u00e9chargement pour pousser les utilisateurs \u00e0 la recherche de logiciels populaires vers des sites Web fictifs qui h\u00e9bergent des installateurs MSI pi\u00e9g\u00e9s. Parmi les familles de malwares diffus\u00e9es via FakeBat figurent IcedID, RedLine Stealer, Lumma Stealer, SectopRAT (alias ArechClient2) et Carbanak, un malware associ\u00e9 au groupe de cybercriminalit\u00e9 FIN7.<\/p>\n \u00ab Le modus operandi de l’UNC4536 consiste \u00e0 exploiter la publicit\u00e9 malveillante pour distribuer des installateurs MSIX trojanis\u00e9s d\u00e9guis\u00e9s en logiciels populaires comme Brave, KeePass, Notion, Steam et Zoom \u00bb, a d\u00e9clar\u00e9 Mandiant. \u00ab Ces installateurs MSIX trojanis\u00e9s sont h\u00e9berg\u00e9s sur des sites Web con\u00e7us pour imiter des sites d’h\u00e9bergement de logiciels l\u00e9gitimes, incitant les utilisateurs \u00e0 les t\u00e9l\u00e9charger. \u00bb<\/p>\n Ce qui rend l’attaque remarquable est l’utilisation d’installateurs MSIX d\u00e9guis\u00e9s en Brave, KeePass, Notion, Steam et Zoom, qui ont la capacit\u00e9 d’ex\u00e9cuter un script avant de lancer l’application principale au moyen d’une configuration appel\u00e9e startScript.<\/p>\n UNC4536 est essentiellement un distributeur de logiciels malveillants, ce qui signifie que FakeBat agit comme un v\u00e9hicule de livraison pour les charges utiles de prochaine \u00e9tape pour ses partenaires commerciaux, dont FIN7.<\/p>\n \u00ab NUMOZYLOD collecte des informations syst\u00e8me, notamment les d\u00e9tails du syst\u00e8me d’exploitation, le domaine auquel il est rattach\u00e9 et les produits antivirus install\u00e9s \u00bb, a d\u00e9clar\u00e9 Mandiant. \u00ab Dans certaines variantes, il collecte l’adresse IPv4 et IPv6 publique de l’h\u00f4te et envoie ces informations \u00e0 son C2, [and] cr\u00e9e un raccourci (.lnk) dans le dossier StartUp comme persistance.”<\/p>\n Cette r\u00e9v\u00e9lation intervient un peu plus d’un mois apr\u00e8s que Mandiant ait \u00e9galement d\u00e9taill\u00e9<\/a> le cycle de vie de l’attaque associ\u00e9 \u00e0 un autre t\u00e9l\u00e9chargeur de logiciels malveillants nomm\u00e9 EMPTYSPACE (alias BrokerLoader ou Vetta Loader), qui a \u00e9t\u00e9 utilis\u00e9 par un groupe de menaces motiv\u00e9es financi\u00e8rement surnomm\u00e9 UNC4990 pour faciliter les activit\u00e9s d’exfiltration de donn\u00e9es et de cryptojacking ciblant les entit\u00e9s italiennes.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Les-cybercriminels-exploitent-les-recherches-de-logiciels-populaires-pour-diffuser.gif\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n