Une nouvelle campagne vise des soci\u00e9t\u00e9s \u00e0 Taiwan avec des logiciels malveillants connus sous le nom Winos 4.0<\/strong> Dans le cadre des e-mails de phishing se faisant passer pour le Bureau national fiscal du pays.<\/p>\n La campagne, d\u00e9tect\u00e9e le mois dernier par Fortinet Fortiguard Labs, marque un \u00e9cart par rapport aux cha\u00eenes d’attaque pr\u00e9c\u00e9dentes qui ont exploit\u00e9 des applications li\u00e9es au jeu malveillantes.<\/p>\n “L’exp\u00e9diteur a affirm\u00e9 que le fichier malveillant joint \u00e9tait une liste des entreprises pr\u00e9vue pour l’inspection fiscale et a demand\u00e9 au s\u00e9questre de transmettre les informations au tr\u00e9sorier de leur entreprise”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Pei Han Liao dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n La pi\u00e8ce jointe imite un document officiel du minist\u00e8re des Finances, exhortant le destinataire \u00e0 t\u00e9l\u00e9charger la liste des entreprises pr\u00e9vue pour l’inspection fiscale.<\/p>\n Mais en r\u00e9alit\u00e9, la liste est un fichier zip contenant une DLL malveillante (“lastbld2base.dll”) qui jette les bases de la prochaine \u00e9tape d’attaque, conduisant \u00e0 l’ex\u00e9cution de Shellcode qui est responsable du t\u00e9l\u00e9chargement d’un module WINOS 4.0 \u00e0 partir d’un serveur distant (“206.238.221[.]60 “) pour la collecte de donn\u00e9es sensibles.<\/p>\n Le composant, d\u00e9crit comme un module de connexion, est capable de prendre des captures d’\u00e9cran, de journaliser les touches, de modifier le contenu du presse-papiers, de surveiller les p\u00e9riph\u00e9riques USB connect\u00e9s, d’ex\u00e9cuter ShellCode et de permettre l’ex\u00e9cution d’actions sensibles (par exemple, CMD.EXE) lorsque les invites de s\u00e9curit\u00e9 de Kingsoft Security et Huorong sont affich\u00e9es.<\/p>\n Fortinet a d\u00e9clar\u00e9 qu’il avait \u00e9galement observ\u00e9 une deuxi\u00e8me cha\u00eene d’attaque qui t\u00e9l\u00e9charge un module en ligne<\/a> Cela peut capturer des captures d’\u00e9cran des banques WeChat et en ligne.<\/p>\n Il convient de noter que le ensemble d’intrusion<\/a> La distribution des logiciels malveillants WinOS 4.0 a \u00e9t\u00e9 attribu\u00e9 aux surnoms Void Arachne et Silver Fox, le malware se chevauchant \u00e9galement avec un autre cheval de Troie \u00e0 distance suivi comme Valleyrat.<\/p>\n “Ils sont tous deux d\u00e9riv\u00e9s de la m\u00eame source: Gh0st Rat, qui a \u00e9t\u00e9 d\u00e9velopp\u00e9 en Chine et open-open en 2008”, a d\u00e9clar\u00e9 Daniel Dos Santos, responsable de la recherche en mati\u00e8re de s\u00e9curit\u00e9 au Vedere Labs de ForeScout, au Hacker News.<\/p>\n “Winos et Valleyrat sont des variations de rat Gh0st attribu\u00e9es \u00e0 Silver Fox par diff\u00e9rents chercheurs \u00e0 diff\u00e9rents moments. Winos \u00e9tait un nom couramment utilis\u00e9 en 2023 et 2024 tandis que maintenant Valleyrat est plus couramment utilis\u00e9. L’outil \u00e9volue constamment, et il a \u00e0 la fois des capacit\u00e9s locales de tro \/ rat ainsi qu’un serveur de commandement.”<\/p>\n Vall\u00e9e<\/a>identifi\u00e9 pour la premi\u00e8re fois au d\u00e9but de 2023, a \u00e9t\u00e9 r\u00e9cemment observ\u00e9 \u00e0 l’aide de faux sites chrom\u00e9s comme un conduit pour infecter les utilisateurs de langue chinoise. Des sch\u00e9mas de t\u00e9l\u00e9chargement similaires ont \u00e9galement \u00e9t\u00e9 utilis\u00e9s pour livrer GH0st Rat.<\/p>\n En outre, les cha\u00eenes d’attaque WINOS 4.0 ont incorpor\u00e9 ce qu’on appelle un programme d’installation intelligent qui est ex\u00e9cut\u00e9 au moyen d’un package d’installation MSI distribu\u00e9 sous forme de faux logiciels ou d’applications li\u00e9es au jeu. Aussi abandonn\u00e9 aux c\u00f4t\u00e9s de Winos 4.0 via SleverSoar est l’Open-source Nidhogg<\/a> rootkit. <\/p>\n “Le programme d’installation de CleverSoar […] V\u00e9rifie les param\u00e8tres linguistiques de l’utilisateur pour v\u00e9rifier s’ils sont d\u00e9finis sur chinois ou vietnamien “,” Rapid7 not\u00e9<\/a> Fin novembre 2024. “Si la langue n’est pas reconnue, l’installateur se termine, emp\u00eachant efficacement les infections. Ce comportement sugg\u00e8re fortement que l’acteur de menace vise principalement les victimes dans ces r\u00e9gions.”<\/p>\n La divulgation intervient alors que l’Argent Fox APT a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle campagne qui exploite les versions trojanis\u00e9es de Philips Dicom Visionneurs \u00e0 d\u00e9ployer Valleyrat, qui est ensuite utilis\u00e9 pour laisser tomber un Keylogger et un mineur de crypto-monnaie sur les ordinateurs victimes. Il a notamment trouv\u00e9 que les attaques utilisent une version vuln\u00e9rable du conducteur Truesight pour d\u00e9sactiver les logiciels antivirus.<\/p>\n “Cette campagne tire parti des t\u00e9l\u00e9spectateurs DICOM trojanis\u00e9s comme des leurres pour infecter les syst\u00e8mes de victimes par une porte d\u00e9rob\u00e9e (Valleyrat) pour un acc\u00e8s et un contr\u00f4le \u00e0 distance, un keylogger pour capturer l’activit\u00e9 des utilisateurs et les informations d’identification, et un mineur cryptographique pour exploiter les ressources du syst\u00e8me pour un gain financier”, pr\u00e9voyant dit<\/a>.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Silver-Fox-Apt-utilise-des-logiciels-malveillants-WinOS-40-dans.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n