Une nouvelle campagne de logiciels malveillants a \u00e9t\u00e9 observ\u00e9e en tirant parti des tactiques d’ing\u00e9nierie sociale pour fournir un rootkit open source appel\u00e9 R77.<\/p>\n
L’activit\u00e9, condamn\u00e9e Obscur # batte<\/strong> Par Securonix, permet aux acteurs de la menace d’\u00e9tablir de la persistance et d’\u00e9chapper \u00e0 la d\u00e9tection sur les syst\u00e8mes compromis. On ne sait actuellement pas qui est derri\u00e8re la campagne.<\/p>\n Le rootkit “a la possibilit\u00e9 de cntourer ou de masquer n’importe quel fichier, cl\u00e9 de registre ou t\u00e2che commen\u00e7ant par un pr\u00e9fixe sp\u00e9cifique”, chercheurs de s\u00e9curit\u00e9 den iuzvyk et Tim Peck dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News. “Il a cibl\u00e9 les utilisateurs en se faisant passer pour des t\u00e9l\u00e9chargements de logiciels l\u00e9gitimes ou via de fausses escroqueries en g\u00e9nie social CAPTCHA.”<\/p>\n La campagne est con\u00e7ue pour cibler principalement les individus anglophones, en particulier les \u00c9tats-Unis, le Canada, l’Allemagne et le Royaume-Uni.<\/p>\n Obscure # BAT tire son nom du fait que le point de d\u00e9part de l’attaque est un script de lot Windows obscurcissant qui, \u00e0 son tour, ex\u00e9cute des commandes PowerShell pour activer un processus en plusieurs \u00e9tapes qui culmine dans le d\u00e9ploiement du rootkit.<\/p>\n Au moins deux voies d’acc\u00e8s initiales diff\u00e9rentes ont \u00e9t\u00e9 identifi\u00e9es pour amener les utilisateurs \u00e0 ex\u00e9cuter les scripts de lots malveillants: celui qui utilise la inf\u00e2me strat\u00e9gie ClickFix en dirigeant les utilisateurs vers une fausse page de v\u00e9rification CAPTCHA CloudFlare et une deuxi\u00e8me m\u00e9thode qui utilise la publicit\u00e9 des logiciels malveillants comme des outils l\u00e9gitimes comme le navigateur Tor Tor, le logiciel VoIP et les clients de messagerie.<\/p>\n Bien qu’il ne soit pas clair comment les utilisateurs sont attir\u00e9s par le logiciel pi\u00e9g\u00e9, il est soup\u00e7onn\u00e9 d’impliquer des approches \u00e9prouv\u00e9es comme le malvertising ou l’empoisonnement d’optimisation des moteurs de recherche (SEO).<\/p>\n Quelle que soit la m\u00e9thode utilis\u00e9e, la charge utile en premi\u00e8re \u00e9tape est une archive contenant le script de lot, qui invoque ensuite les commandes PowerShell pour supprimer des scripts suppl\u00e9mentaires, effectuer des modifications du registre Windows et configurer des t\u00e2ches planifi\u00e9es pour la persistance.<\/p>\n “Les magasins de logiciels malveillants obscurcissent les scripts dans le registre Windows et assure l’ex\u00e9cution via des t\u00e2ches planifi\u00e9es, ce qui lui permet de s’ex\u00e9cuter furtivement en arri\u00e8re-plan”, ont d\u00e9clar\u00e9 les chercheurs. “De plus, il modifie les cl\u00e9s de registre syst\u00e8me pour enregistrer un faux pilote (ACPIX86.SYS), s’int\u00e9grant davantage dans le syst\u00e8me.”<\/p>\n La charge utile .NET est d\u00e9ploy\u00e9e au cours de l’attaque. Cela comprend l’obscurcissement du flux de contr\u00f4le, le chiffrement des cha\u00eenes et l’utilisation de noms de fonctions qui m\u00e9langent les caract\u00e8res arabes, chinois et sp\u00e9ciaux.<\/p>\n Une autre charge utile charg\u00e9e au moyen de PowerShell est un ex\u00e9cutable qui utilise l’interface de num\u00e9risation anti-anti-logiciels (Amsi<\/a>) Patchage pour contourner les d\u00e9tections d’antivirus.<\/p>\n La charge utile .NET est finalement responsable de la suppression d’un rootkit en mode syst\u00e8me nomm\u00e9 “ACPIX86.SYS” dans le dossier “C: Windows System32 ” “, qui est ensuite lanc\u00e9 en tant que service. Rootkit en mode utilisateur est \u00e9galement livr\u00e9 appel\u00e9 ROOTKIT pour la configuration de la persistance sur l’h\u00f4te et de la cachette de fichiers, de processus et de cl\u00e9s de registre correspondant au mod\u00e8le ($ nya-).<\/p>\n Le malware surveille p\u00e9riodiquement p\u00e9riodiquement pour l’activit\u00e9 du presse-papiers et l’historique des commandes et les enregistre dans des fichiers cach\u00e9s pour une exfiltration probable.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Obscure-Bat-Malware-utilise-de-fausses-pages-CAPTCHA-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n