Une nouvelle variante du malware de Keylogger Snake est utilis\u00e9e pour cibler activement les utilisateurs de Windows situ\u00e9s en Chine, en Turquie, en Indon\u00e9sie, en Ta\u00efwan et en Espagne.<\/p>\n
Fortinet Fortiguard Labs a d\u00e9clar\u00e9 que la nouvelle version du malware \u00e9tait \u00e0 derri\u00e8re plus de 280 millions de tentatives d’infection bloqu\u00e9es dans le monde depuis le d\u00e9but de l’ann\u00e9e.<\/p>\n
“G\u00e9n\u00e9ralement livr\u00e9 via des e-mails de phishing contenant des pi\u00e8ces jointes malveillantes ou des liens, Snake Keylogger est con\u00e7u pour voler des informations sensibles \u00e0 des navigateurs Web populaires comme Chrome, Edge et Firefox en enregistrant les touches, en capturant les informations d’identification et en surveillant le presse-papiers”, a d\u00e9clar\u00e9 Kevin Su. Kevin Su. Kevin Su. dit<\/a>.<\/p>\n Ses autres fonctionnalit\u00e9s lui permettent d’exfiltrer les informations vol\u00e9es \u00e0 un serveur contr\u00f4l\u00e9 par l’attaquant \u00e0 l’aide du protocole de transfert de courrier simple (SMTP) et des bots t\u00e9l\u00e9grammes, permettant aux acteurs de la menace d’acc\u00e9der aux informations d’identification vol\u00e9es et d’autres donn\u00e9es sensibles. “<\/p>\n Ce qui est notable dans le dernier ensemble d’attaques, c’est qu’il utilise le langage de script AutOIT pour livrer et ex\u00e9cuter la charge utile principale. En d’autres termes, l’ex\u00e9cutable contenant les logiciels malveillants est un binaire compil\u00e9 automatiquement, lui permettant ainsi de contourner les m\u00e9canismes de d\u00e9tection traditionnels.<\/p>\n “L’utilisation d’AutOIT complique non seulement l’analyse statique en int\u00e9grant la charge utile dans le script compil\u00e9, mais permet \u00e9galement un comportement dynamique qui imite les outils d’automatisation b\u00e9nin”, a ajout\u00e9 SU.<\/p>\n Une fois lanc\u00e9, Snake Keylogger est con\u00e7u pour d\u00e9poser une copie de lui-m\u00eame dans un fichier nomm\u00e9 “Ageless.exe” dans le dossier “% local_appdata% supergroup”. Il continue \u00e9galement \u00e0 supprimer un autre fichier appel\u00e9 “Ageless.vbs” dans le dossier de d\u00e9marrage Windows de sorte que le script Visual Basic (VBS) lance automatiquement le malware chaque fois que le syst\u00e8me est red\u00e9marr\u00e9.<\/p>\n Gr\u00e2ce \u00e0 ce m\u00e9canisme de persistance, Snake Keylogger est capable de maintenir l’acc\u00e8s au syst\u00e8me compromis et de reprendre ses activit\u00e9s malveillantes m\u00eame si le processus associ\u00e9 est termin\u00e9.<\/p>\n La cha\u00eene d’attaque culmine avec l’injection de la charge utile principale dans un processus .NET l\u00e9gitime tel que “Regsvcs.exe” en utilisant une technique appel\u00e9e proc\u00e9d\u00e9 creux, permettant au malware de cacher sa pr\u00e9sence dans un processus de confiance et de contourner la d\u00e9tection.<\/p>\n Snake Keylogger s’est \u00e9galement av\u00e9r\u00e9 enregistrer des touches et utiliser des sites Web comme Checkip.Dyndns[.]org pour r\u00e9cup\u00e9rer l’adresse IP et la g\u00e9olocalisation de la victime.<\/p>\n “Pour capturer des touches, il exploite l’API SetWindowshooKex avec le premier param\u00e8tre d\u00e9fini sur WH_KEYBOARD_LL (Flag 13), un crochet de clavier de bas niveau qui surveille les touches”, a d\u00e9clar\u00e9 Su. “Cette technique permet aux logiciels malveillants de enregistrer les entr\u00e9es sensibles telles que les informations d’identification bancaires.”<\/p>\n Le d\u00e9veloppement intervient alors que CloudSek a d\u00e9taill\u00e9 une campagne qui exploite l’infrastructure compromise associ\u00e9e aux \u00e9tablissements d’enseignement pour distribuer des fichiers LNK malveillants d\u00e9guis\u00e9s en documents PDF pour d\u00e9ployer finalement le malware Lumma Stealer.<\/p>\n L’activit\u00e9, ciblant les industries comme la finance, les soins de sant\u00e9, la technologie et les m\u00e9dias, est une s\u00e9quence d’attaque en plusieurs \u00e9tapes qui se traduit par le vol de mots de passe, de donn\u00e9es de navigateur et de portefeuilles de crypto-monnaie.<\/p>\n “Le vecteur d’infection primaire de la campagne implique d’utiliser des fichiers LNK (raccourci) malveillants qui sont fabriqu\u00e9s pour appara\u00eetre comme des documents PDF l\u00e9gitimes”, cherche \u00e0 \u00eatre en s\u00e9curit\u00e9 Mayank Sahariya dit<\/a>l’ajout des fichiers est h\u00e9berg\u00e9 sur un serveur WebDAV que les visiteurs sans m\u00e9fiance sont redirig\u00e9es apr\u00e8s les sites visitants.<\/p>\n Le fichier LNK, pour sa part, ex\u00e9cute une commande PowerShell pour se connecter \u00e0 un serveur distant et r\u00e9cup\u00e9rer le malware malveillant, un code JavaScript obscurci qui abrite un autre PowerShell qui t\u00e9l\u00e9charge Lumma Stealer du m\u00eame serveur et l’ex\u00e9cute.<\/p>\n Ces derni\u00e8res semaines, des logiciels malveillants de voleur ont \u00e9galement \u00e9t\u00e9 observ\u00e9s distribu\u00e9s via Fichiers JavaScript obscurcis<\/a> Pour r\u00e9colter un large \u00e9ventail de donn\u00e9es sensibles, des syst\u00e8mes Windows compromis et l’exfiltrer \u00e0 un bot t\u00e9l\u00e9gramme exploit\u00e9 par l’attaquant.<\/p>\n “L’attaque commence par un fichier JavaScript obscurci, qui r\u00e9cup\u00e8re les cha\u00eenes cod\u00e9es d’un service open source pour ex\u00e9cuter un script PowerShell”, Cyfirma dit<\/a>.<\/p>\n “Ce script t\u00e9l\u00e9charge ensuite une image JPG et un fichier texte \u00e0 partir d’une adresse IP et d’un raccourcissement d’URL, qui contiennent tous deux des ex\u00e9cutables MZ DOS malveillants int\u00e9gr\u00e9s \u00e0 l’aide de techniques st\u00e9ganographiques. Une fois ex\u00e9cut\u00e9es, ces charges utiles d\u00e9ploient des logiciels malveillants de voleur.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Nouvelle-variante-Snake-Keylogger-Tente-des-scripts-AUTOIT-pour-echapper.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n