Une campagne de logiciels malveillants distribuant le logiciel malveillant Xloader a \u00e9t\u00e9 observ\u00e9 \u00e0 l’aide du Technique de chargement lat\u00e9rale DLL<\/a> En utilisant une application l\u00e9gitime associ\u00e9e \u00e0 la Fondation Eclipse.<\/p>\n “L’application l\u00e9gitime utilis\u00e9e dans l’attaque, Jarsigner, est un fichier cr\u00e9\u00e9 lors de l’installation du package IDE distribu\u00e9 par la Fondation Eclipse”, le Ahnlab Security Intelligence Center (ASEC) dit<\/a>. “Il s’agit d’un outil pour signer des fichiers JAR (Java Archive).”<\/p>\n La soci\u00e9t\u00e9 sud-cor\u00e9enne de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les logiciels malveillants se sont propag\u00e9s sous la forme d’une archive zip comprim\u00e9e qui comprend l’ex\u00e9cutable l\u00e9gitime ainsi que les DLL qui sont mis \u00e0 c\u00f4t\u00e9 pour lancer le malware –<\/p>\n Documents2012.exe, une version renomm\u00e9e du Jarsigner.exe binaire l\u00e9gitime JLI.dll, un fichier DLL qui est modifi\u00e9 par l’acteur de menace pour d\u00e9crypter et injecter CONCRT140E.DLL CONCRT140E.DLL, LA CONCROTURE PUDE XLOADER<\/p>\n La cha\u00eene d’attaque traverse la phase malveillante lorsque “Documents2012.Exe” est ex\u00e9cut\u00e9, d\u00e9clenchant l’ex\u00e9cution de la biblioth\u00e8que falsifi\u00e9e “Jli.dll” pour charger le malware Xloader.<\/p>\n “Le fichier CONCRT140E.DLL distribu\u00e9 est une charge utile crypt\u00e9e qui est d\u00e9crypt\u00e9e pendant le processus d’attaque et inject\u00e9e dans le fichier l\u00e9gitime aspnet_wp.exe pour l’ex\u00e9cution”, a d\u00e9clar\u00e9 ASEC.<\/p>\n “Les logiciels malveillants inject\u00e9s, Xloader, volent des informations sensibles telles que les informations sur PC et le navigateur de l’utilisateur, et effectue diverses activit\u00e9s telles que le t\u00e9l\u00e9chargement de logiciels malveillants suppl\u00e9mentaires.”<\/p>\n Successeur du Formbook malware, Xloader a \u00e9t\u00e9 d\u00e9tect\u00e9 pour la premi\u00e8re fois dans la nature en 2020. Il est disponible \u00e0 la vente \u00e0 d’autres acteurs criminels dans le cadre d’un mod\u00e8le de logiciel malveillant en tant que service (MAAS). En ao\u00fbt 2023, une version macOS du voleur d’informations et de Keylogger a \u00e9t\u00e9 d\u00e9couverte en imitant Microsoft Office.<\/p>\n “Les versions Xloader 6 et 7 incluent des couches d’obscurcissement et de chiffrement suppl\u00e9mentaires destin\u00e9es \u00e0 prot\u00e9ger le code critique et les informations pour vaincre la d\u00e9tection bas\u00e9e sur la signature et compliquer les efforts d’ing\u00e9nierie inverse”, Zscaler ThreatLabz dit<\/a> Dans un rapport en deux parties publi\u00e9 ce mois-ci.<\/p>\n “Xloader a introduit des techniques qui ont \u00e9t\u00e9 observ\u00e9es pr\u00e9c\u00e9demment dans SmokeLoader, notamment en cryptage des parties de code lors de l’\u00e9vasion de l’ex\u00e9cution et du hook ntdll.”<\/p>\n Une analyse plus approfondie des logiciels malveillants a r\u00e9v\u00e9l\u00e9 son utilisation de listes de leurre \u00e0 code dur pour m\u00e9langer les communications r\u00e9seau r\u00e9elles de commandement et de contr\u00f4le (C2) avec le trafic vers des sites Web l\u00e9gitimes. Les leurres et les serveurs C2 r\u00e9els sont chiffr\u00e9s \u00e0 l’aide de diff\u00e9rentes cl\u00e9s et algorithmes.<\/p>\n Comme dans le cas de familles de logiciels malveillants comme Coup de pouss\u00e9e<\/a>l’intention derri\u00e8re l’utilisation de leurres est de g\u00e9n\u00e9rer du trafic r\u00e9seau vers des domaines l\u00e9gitimes afin de masquer le trafic r\u00e9el C2.<\/p>\n Le chargement lat\u00e9ral DLL a \u00e9galement \u00e9t\u00e9 maltrait\u00e9<\/a> Par l’acteur Smartapesg (AKA ZPHP ou Haneymaney) pour livrer le rat Netsupport via des sites Web l\u00e9gitimes compromis avec des injects Web JavaScript, le Troie \u00e0 l’acc\u00e8s \u00e0 distance agissant comme un conduit pour abandonner le Stealer Stealer.<\/p>\n Le d\u00e9veloppement intervient alors que Zscaler a d\u00e9taill\u00e9 deux autres chargeurs de logiciels malveillants nomm\u00e9s Nodeloader<\/a> et Riseloadeur<\/a> Cela a \u00e9t\u00e9 utilis\u00e9 pour distribuer un large \u00e9ventail de voleurs d’informations, de mineurs de crypto-monnaie et de logiciels malveillants de botnet tels que Vidar, Lumma, Phemedrone, XMRIG et SOCKS5Systemz.<\/p>\n “Riseloader et Risepro partagent plusieurs similitudes dans leurs protocoles de communication de r\u00e9seau, y compris la structure des messages, le processus d’initialisation et la structure de la charge utile”, a-t-il not\u00e9. “Ces chevauchements peuvent indiquer que le m\u00eame acteur de menace est derri\u00e8re les deux familles de logiciels malveillants.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-cybercriminels-utilisent-un-jarsigner-Eclipse-pour-deployer-des-logiciels.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n