Microsoft a divulgu\u00e9 les d\u00e9tails d’une campagne de malvertisage \u00e0 grande \u00e9chelle qui aurait eu un impact sur un million d’appareils dans le monde dans le cadre de ce qu’il a dit est une attaque opportuniste con\u00e7ue pour voler des informations sensibles.<\/p>\n
Le g\u00e9ant de la technologie, qui a d\u00e9tect\u00e9 l’activit\u00e9 d\u00e9but d\u00e9cembre 2024, le suit sous l’\u00e9gide plus large Storm-0408, un surnom utilis\u00e9 pour un ensemble d’acteurs de menace qui sont connus pour distribuer un acc\u00e8s \u00e0 distance ou un malware d’information via le phishing, l’optimisation des moteurs de recherche (r\u00e9f\u00e9rencement) ou la malvertisage.<\/p>\n
“L’attaque est originaire de sites Web de streaming ill\u00e9gaux int\u00e9gr\u00e9s \u00e0 des redirecteurs malvertising, menant \u00e0 un site Web interm\u00e9diaire o\u00f9 l’utilisateur a ensuite \u00e9t\u00e9 redirig\u00e9 vers Github et deux autres plateformes”, l’\u00e9quipe Microsoft Threat Intelligence Intelligence dit<\/a>.<\/p>\n “La campagne a eu un impact sur un large \u00e9ventail d’organisations et d’industries, y compris des appareils grand public et d’entreprise, mettant en \u00e9vidence la nature aveugle de l’attaque.”<\/p>\n L’aspect le plus important de la campagne est l’utilisation de GitHub comme plate-forme pour fournir des charges utiles d’acc\u00e8s initial. Dans au moins deux autres instances isol\u00e9es, les charges utiles ont \u00e9t\u00e9 trouv\u00e9es h\u00e9berg\u00e9es sur Discord et Dropbox. Les r\u00e9f\u00e9rentiels GitHub ont depuis \u00e9t\u00e9 retir\u00e9s. L’entreprise n’a pas r\u00e9v\u00e9l\u00e9 combien de ces r\u00e9f\u00e9rentiels ont \u00e9t\u00e9 supprim\u00e9s.<\/p>\n Le service d’h\u00e9bergement de code appartenant \u00e0 Microsoft agit comme un terrain de mise en sc\u00e8ne pour les logiciels malveillants compte-gouttes responsables du d\u00e9ploiement d’une s\u00e9rie de programmes suppl\u00e9mentaires tels que Lumma Stealer et Doenerrium, qui, \u00e0 leur tour, sont capables de collecter des informations sur le syst\u00e8me.<\/p>\n L’attaque utilise \u00e9galement une cha\u00eene de redirection sophistiqu\u00e9e comprenant quatre \u00e0 cinq couches, le redirecteur initial int\u00e9gr\u00e9 dans un \u00e9l\u00e9ment IFRAME sur les sites Web de streaming ill\u00e9gal servant du contenu pirat\u00e9.<\/p>\n La s\u00e9quence d’infection globale est un processus en plusieurs \u00e9tapes qui implique la d\u00e9couverte du syst\u00e8me, la collecte d’informations et l’utilisation de charges utiles de suivi telles que les scripts NetSupport Rat et AutOIT pour faciliter plus de vol de donn\u00e9es. Le cheval de Troie \u00e0 distance sert \u00e9galement de conduit pour les logiciels malveillants de voleur.<\/p>\n Une autre caract\u00e9ristique des attaques concerne l’utilisation de divers scripts PowerShell pour t\u00e9l\u00e9charger Netsupport Rat, identifier les applications install\u00e9es et les logiciels de s\u00e9curit\u00e9, en scultant en particulier la pr\u00e9sence de portefeuilles de crypto-monnaie, indiquant un vol de donn\u00e9es financi\u00e8res potentiels.<\/p>\n “Outre les voleurs d’informations, les scripts PowerShell, JavaScript, VBScript et AutOIT ont \u00e9t\u00e9 ex\u00e9cut\u00e9s sur l’h\u00f4te”, a d\u00e9clar\u00e9 Microsoft. “Les acteurs de la menace ont incorpor\u00e9 l’utilisation de binaires et de scripts de vie (lolbas) comme PowerShell.exe, msbuild.exe et Regasm.exe pour C2 et l’exfiltration des donn\u00e9es des donn\u00e9es utilisateur et des informations d’identification du navigateur.”<\/p>\n La divulgation intervient alors que Kaspersky a r\u00e9v\u00e9l\u00e9 que des sites Web de faux se d\u00e9guisant alors que les chatbots de Deepseek et Grok Artificial Intelligence (AI) sont utilis\u00e9s pour inciter les utilisateurs \u00e0 installer un voleur d’informations Python pr\u00e9c\u00e9demment sans papiers.<\/p>\n Les sites de leurre sur le th\u00e8me de Deekseek annonc\u00e9s par des comptes v\u00e9rifi\u00e9s sur X (par exemple, @ColeadDisontech, @ Gaurdevang2 et @ saduq5) ont \u00e9galement \u00e9t\u00e9 utilis\u00e9s pour ex\u00e9cuter un script PowerShell qui utilise SSH pour accorder un acc\u00e8s \u00e0 distance aux attaquants \u00e0 l’ordinateur. <\/p>\n \u00abLes cybercriminels utilisent divers r\u00e9gimes pour attirer les victimes de ressources malveillantes\u00bb, la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 dit<\/a>. “En r\u00e8gle g\u00e9n\u00e9rale, les liens vers de tels sites sont distribu\u00e9s par le biais de messagers et de r\u00e9seaux sociaux. Les attaquants peuvent \u00e9galement utiliser la typosquat ou acheter du trafic publicitaire vers des sites malveillants gr\u00e2ce \u00e0 de nombreux programmes d’affiliation.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Microsoft-met-en-garde-contre-la-campagne-de-malvertisation-infectant.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\n<\/a><\/center><\/div>\n