L’acteur de menace chinois parrain\u00e9 par l’\u00c9tat connue sous le nom de Mustang Panda a \u00e9t\u00e9 observ\u00e9 en utilisant une nouvelle technique pour \u00e9chapper \u00e0 la d\u00e9tection et maintenir le contr\u00f4le des syst\u00e8mes infect\u00e9s.<\/p>\n
Cela implique l’utilisation d’un utilitaire Microsoft Windows l\u00e9gitime appel\u00e9 injecteur de virtualisation de l’application Microsoft (mavinject.exe) pour injecter la charge utile malveillante de l’acteur de menace dans un processus externe, waitfor.exe, chaque fois que l’application antivirus ESET est d\u00e9tect\u00e9e en cours d’ex\u00e9cution, Tendal Micro Micro dit<\/a> dans une nouvelle analyse.<\/p>\n “L’attaque consiste \u00e0 supprimer plusieurs fichiers, y compris des ex\u00e9cutables l\u00e9gitimes et des composants malveillants, et en d\u00e9ploiement d’un PDF leurre pour distraire la victime”, a not\u00e9 les chercheurs en s\u00e9curit\u00e9 Nathaniel Morales et Nick Dai.<\/p>\n “De plus, Earth Preta utilise Configuration Factory, un constructeur d’installation pour le logiciel Windows, pour d\u00e9poser et ex\u00e9cuter la charge utile; cela leur permet d’\u00e9chapper \u00e0 la d\u00e9tection et \u00e0 maintenir la persistance dans les syst\u00e8mes compromis.”<\/p>\n Le point de d\u00e9part de la s\u00e9quence d’attaque est un ex\u00e9cutable (“irsetup.exe”) qui sert de compte-gouttes pour plusieurs fichiers, y compris le document de leurre con\u00e7u pour cibler les utilisateurs bas\u00e9s en Tha\u00eflande. Cela fait allusion \u00e0 la possibilit\u00e9 que les attaques aient impliqu\u00e9 l’utilisation des e-mails de lance \u00e0 la lance \u00e0 une seule victime.<\/p>\n Le binaire proc\u00e8de ensuite \u00e0 une application l\u00e9gitime sur les arts \u00e9lectroniques (EA) (“OriginlegacyCli.exe”) pour mettre \u00e0 c\u00f4t\u00e9 une DLL voyou nomm\u00e9e “eacore.dll” qui est une version modifi\u00e9e du Toneshell Backdoor attribu\u00e9 \u00e0 l’\u00e9quipe de piratage.<\/p>\n Core La fonction du malware est un contr\u00f4le pour d\u00e9terminer si deux processus associ\u00e9s aux applications antivirus ESET – “ekrn.exe” ou “egui.exe” – fonctionnent sur l’h\u00f4te compromis, et dans le cas, ex\u00e9cutez “waitfor.exe” et Utilisez ensuite “Mavinject.exe” afin d’ex\u00e9cuter le logiciel malveillant sans \u00eatre signal\u00e9 par celui-ci.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-pirates-chinois-exploitent-mavinjectexe-pour-echapper-a-la-detection.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n