Une campagne de logiciels malveillants \u00e0 grande \u00e9chelle a \u00e9t\u00e9 trouv\u00e9 en tirant parti d’un pilote Windows vuln\u00e9rable associ\u00e9 \u00e0 la suite de produits d’Adlice pour contourner les efforts de d\u00e9tection et livrer le malware Gh0st Rat.<\/p>\n
“Pour \u00e9viter davantage la d\u00e9tection, les attaquants ont d\u00e9lib\u00e9r\u00e9ment g\u00e9n\u00e9r\u00e9 plusieurs variantes (avec des hachages diff\u00e9rents) du pilote 2.0.2 en modifiant des pi\u00e8ces PE sp\u00e9cifiques tout en gardant la signature valide” dit<\/a> Dans un nouveau rapport publi\u00e9 lundi.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que l’activit\u00e9 malveillante impliquait des milliers d’\u00e9chantillons malveillants en premi\u00e8re sc\u00e8ne qui sont utilis\u00e9s pour d\u00e9ployer un programme capable de mettre fin \u00e0 un logiciel de d\u00e9tection et de r\u00e9ponse (EDR) (EDR) au moyen de ce qu’on appelle une attaque de conducteur vuln\u00e9rable (BYOVD).<\/p>\n Jusqu’\u00e0 2 500 variantes distinctes de la version 2.0.2 de Legacy du pilote vuln\u00e9rable Roguekiller Antirootkit, Trugesight.Sys, ont \u00e9t\u00e9 identifi\u00e9es sur la plate-forme Virustotal, bien que le nombre soit probablement plus \u00e9lev\u00e9. Le module EDR-Killer a \u00e9t\u00e9 d\u00e9tect\u00e9 et enregistr\u00e9 pour la premi\u00e8re fois en juin 2024.<\/p>\n Le probl\u00e8me avec le conducteur Truesight, un bogue de terminaison de processus de processus arbitraire affectant toutes les versions inf\u00e9rieures \u00e0 3.4.0, a \u00e9t\u00e9 pr\u00e9c\u00e9demment arm\u00e9 pour concevoir des exploits de preuve de concept (POC) tels que Darkside<\/a> et Truesightkiller<\/a> qui sont accessibles au public depuis au moins novembre 2023.<\/p>\n En mars 2024, Sonicwall a r\u00e9v\u00e9l\u00e9 des d\u00e9tails d’un chargeur appel\u00e9 DBATloader qui a \u00e9t\u00e9 constat\u00e9 qu’il avait utilis\u00e9 le pilote Truesight.SYS \u200b\u200b\u00e0 tuer des solutions de s\u00e9curit\u00e9 avant de livrer les logiciels malveillants Remcos Rat.<\/p>\n Il existe des preuves sugg\u00e9rant que la campagne pourrait \u00eatre le travail d’un acteur de menace appel\u00e9 Silver Fox APT en raison de quelques<\/a> Niveau de chevauche dans la cha\u00eene d’ex\u00e9cution et les m\u00e9tiers utilis\u00e9s, y compris le “Vector d’infection, la cha\u00eene d’ex\u00e9cution, les similitudes dans les \u00e9chantillons de stade initial […]et les mod\u00e8les de ciblage historiques. “<\/p>\n Les s\u00e9quences d’attaque impliquent la distribution d’artefacts de premier sc\u00e8ne qui sont souvent d\u00e9guis\u00e9es en applications l\u00e9gitimes et se propagent via des sites Web trompeurs offrant des offres sur les produits de luxe et les canaux frauduleux dans des applications de messagerie populaires comme Telegram.<\/p>\n Les \u00e9chantillons agissent en tant que t\u00e9l\u00e9chargeur, abandonnant la version h\u00e9rit\u00e9e du pilote Truesight, ainsi que la charge utile \u00e0 la prochaine \u00e9tape qui imite les types de fichiers communs, tels que PNG, JPG et GIF. Le logiciel malveillant de deuxi\u00e8me \u00e9tape proc\u00e8de ensuite \u00e0 la r\u00e9cup\u00e9ration d’un autre malware qui, \u00e0 son tour, charge le module EDR-Killer et le logiciel malveillant GH0ST RAT.<\/p>\n “Bien que les variantes du pilote Trugesight Legacy (version 2.0.2) soient g\u00e9n\u00e9ralement t\u00e9l\u00e9charg\u00e9es et install\u00e9es par les \u00e9chantillons \u00e0 \u00e9tage initial, ils peuvent \u00e9galement \u00eatre d\u00e9ploy\u00e9s directement par le module EDR \/ AV Killer si le pilote n’est pas d\u00e9j\u00e0 pr\u00e9sent sur le syst\u00e8me , “Explice le point de ch\u00e8que.<\/p>\n “Cela indique que bien que le module EDR \/ AV Killer est pleinement int\u00e9gr\u00e9 \u00e0 la campagne, il est capable de fonctionner ind\u00e9pendamment des \u00e9tapes pr\u00e9c\u00e9dentes.”<\/p>\n Le module utilise la technique BYOVD pour abuser du conducteur sensible dans le but de mettre fin aux processus li\u00e9s \u00e0 certains logiciels de s\u00e9curit\u00e9. Ce faisant, l’attaque offre un avantage en ce qu’elle contourne le Liste de blocs de pilote vuln\u00e9rable Microsoft<\/a>un m\u00e9canisme Windows bas\u00e9 sur la valeur de hachage con\u00e7u pour prot\u00e9ger le syst\u00e8me contre les conducteurs vuln\u00e9rables connus.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/2-500-variantes-de-pilote-Truesightsys-exploitees-pour-contourner-EDR.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n