Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une campagne de phishing g\u00e9n\u00e9ralis\u00e9e qui utilise de fausses images CAPTCHA partag\u00e9es via des documents PDF h\u00e9berg\u00e9s sur le r\u00e9seau de livraison de contenu (CDN) de WebFlow pour livrer le malware Lumma Stealer.<\/p>\n
Netskope Threat Labs a d\u00e9clar\u00e9 avoir d\u00e9couvert 260 domaines uniques h\u00e9bergeant 5 000 fichiers PDF de phishing qui redirigent les victimes vers des sites Web malveillants.<\/p>\n
“L’attaquant utilise le r\u00e9f\u00e9rencement pour inciter les victimes \u00e0 visiter les pages en cliquant sur les r\u00e9sultats des moteurs de recherche malveillants”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Jan Michael Alcantara dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n “Alors que la plupart des pages de phishing se concentrent sur le vol d’informations sur les cartes de cr\u00e9dit, certains fichiers PDF contiennent de faux captchas qui incitent les victimes \u00e0 ex\u00e9cuter des commandes PowerShell malveillantes, conduisant finalement au logiciel malveillant de Lumma Stealer.”<\/p>\n La campagne de phishing aurait affect\u00e9 plus de 1 150 organisations et plus de 7 000 utilisateurs depuis la seconde moiti\u00e9 de 2024, les attaques distinguant principalement les victimes en Am\u00e9rique du Nord, en Asie et en Europe du Sud \u00e0 travers les secteurs de la technologie, des services financiers et de la fabrication.<\/p>\n Sur les 260 domaines identifi\u00e9s pour h\u00e9berger les faux PDF, la majorit\u00e9 d’entre eux sont li\u00e9s \u00e0 Webflow, suivis par ceux li\u00e9s \u00e0 Godaddy, frappant, wix et rapidement.<\/p>\n Les attaquants ont \u00e9galement \u00e9t\u00e9 observ\u00e9s en t\u00e9l\u00e9chargeant certains des fichiers PDF aux biblioth\u00e8ques en ligne l\u00e9gitimes et aux r\u00e9f\u00e9rentiels PDF comme PDFCoffee, PDF4PRO, PDFBEAN et Internet, de sorte que les utilisateurs qui recherchent des documents PDF sur les moteurs de recherche leur sont dirig\u00e9s.<\/p>\n Les PDF contiennent des images CAPTCHA frauduleuses qui agissent comme un conduit pour voler des informations sur les cartes de cr\u00e9dit. Alternativement, ceux qui distribuaient le voleur de Lumma contiennent des images pour t\u00e9l\u00e9charger le document qui, lorsqu’il clique, emm\u00e8ne la victime sur un site malveillant.<\/p>\n Pour sa part, le site se masque comme une fausse page de v\u00e9rification CAPTCHA qui utilise la technique ClickFix pour tromper la victime pour ex\u00e9cuter une commande MSHTA qui ex\u00e9cute le malware du voleur au moyen d’un script PowerShell.<\/p>\n Ces derni\u00e8res semaines, Lumma Stealer a \u00e9galement \u00e9t\u00e9 d\u00e9guis\u00e9<\/a> En tant que jeux Roblox et une version fissur\u00e9e de l’outil Total Commander pour Windows, mettant en \u00e9vidence les innombrables m\u00e9canismes de livraison adopt\u00e9s par divers acteurs de menace. Les utilisateurs sont redirig\u00e9s vers ces sites Web via des vid\u00e9os YouTube probablement t\u00e9l\u00e9charg\u00e9es \u00e0 partir de comptes pr\u00e9c\u00e9demment compromis.<\/p>\n “Les liens malveillants et les fichiers infect\u00e9s sont souvent d\u00e9guis\u00e9s dans [YouTube videos, comments, or descriptions,” Silent Push said<\/a>. “Exercising caution and being skeptical of unverified sources when interacting with YouTube content, especially when prompted to download or click on links, can help protect against these growing threats.”<\/p>\n The cybersecurity company further found that Lumma Stealer logs are being shared for free on a relatively new hacking forum called Leaky[.]Pro qui est devenu op\u00e9rationnel fin d\u00e9cembre 2024.<\/p>\n Lumma Stealer est une solution CrimeWare enti\u00e8rement traduite qui est propos\u00e9e \u00e0 la vente dans le cadre du mod\u00e8le de logiciel malveillant en tant que service (MAAS), donnant un moyen de r\u00e9colter un large \u00e9ventail d’informations des h\u00f4tes Windows compromis. Au d\u00e9but de 2024, les op\u00e9rateurs de logiciels malveillants ont annonc\u00e9 une int\u00e9gration avec un logiciel malveillant proxy bas\u00e9 \u00e0 Golang nomm\u00e9 Ghostsocks.<\/p>\n “L’ajout d’une fonctionnalit\u00e9 de backconnect Socks5 aux infections \u00e0 Lumma existantes, ou tout autre logiciel malveillant, est tr\u00e8s lucratif pour les acteurs de la menace”, Infrawatch dit<\/a>.<\/p>\n “En tirant parti des connexions Internet des victimes, les attaquants peuvent contourner les restrictions g\u00e9ographiques et les v\u00e9rifications d’int\u00e9grit\u00e9 bas\u00e9es sur l’IP, en particulier celles appliqu\u00e9es par les institutions financi\u00e8res et d’autres objectifs de grande valeur. Cette capacit\u00e9 augmente consid\u00e9rablement la probabilit\u00e9 de succ\u00e8s pour les tentatives d’acc\u00e8s non autoris\u00e9es en utilisant les r\u00e9f\u00e9rences r\u00e9colt\u00e9es via les journaux infosteaux.<\/p>\n Les divulgations viennent alors que le voleur malveillant comme Vidar et le voleur atomique macos (AMOS) sont distribu\u00e9s \u00e0 l’aide de la m\u00e9thode ClickFix via des leurres pour le chatbot de l’intelligence artificielle (AI) Deepseek, selon le chat Zscaler ThreatLabz<\/a> et esentire<\/a>.<\/p>\n Des attaques de phishing ont \u00e9galement \u00e9t\u00e9 rep\u00e9r\u00e9es abusant d’une m\u00e9thode d’obscuscations JavaScript qui utilise des caract\u00e8res Unicode invisibles pour repr\u00e9senter les valeurs binaires, une technique qui \u00e9tait premier document\u00e9<\/a> en octobre 2024.<\/p>\n L’approche consiste \u00e0 utiliser les caract\u00e8res de remplissage Unicode, sp\u00e9cifiquement Hangul \u00e0 demi-largeur (U + FFA0) et Hangul pleine largeur (U + 3164), pour repr\u00e9senter les valeurs binaires 0 et 1, respectivement, et convertir chaque caract\u00e8re ASCII dans la charge utile javascript en leurs \u00e9quivalents hangul.<\/p>\n “Les attaques ont \u00e9t\u00e9 hautement personnalis\u00e9es, y compris des informations non publiques, et le JavaScript initial essaierait d’invoquer un point d’arr\u00eat du d\u00e9bogueur s’il \u00e9tait analys\u00e9, de d\u00e9tecter un retard, puis d’abandonner l’attaque en redirigeant vers un site Web b\u00e9nin”, a d\u00e9clar\u00e9 Juniper Threat Labs dit<\/a>.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-faux-PDF-CAPTCHA-ont-repandu-le-voleur-de-Lumma.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n