Les utilisateurs \u00e0 la recherche de logiciels pirat\u00e9s sont la cible d’une nouvelle campagne de logiciels malveillants qui fournit un logiciel malveillant Clipper pr\u00e9c\u00e9demment sans papiers appel\u00e9 Massjacker, selon les r\u00e9sultats de Cyberark.<\/p>\n
Clipper Malware est un type de Cryware (tel que invent\u00e9 par Microsoft) con\u00e7u pour surveiller le contenu du presse-papiers d’une victime et faciliter le vol de crypto-monnaie en substituant les adresses de portefeuille de crypto-monnaie copi\u00e9es par une cible contr\u00f4l\u00e9e par l’attaquant afin de les rediriger aux adversaires au lieu de la cible pr\u00e9vue.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/New-MassJacker-Malware-cible-les-utilisateurs-de-piratage-detournant-les.png\")
<\/a><\/center><\/div>\n“La cha\u00eene d’infection commence sur un site appel\u00e9 Pesktop[.]com, “chercheur en s\u00e9curit\u00e9 Ari Novick dit<\/a> Dans une analyse publi\u00e9e plus t\u00f4t cette semaine. “Ce site, qui se pr\u00e9sente comme un site pour obtenir des logiciels pirat\u00e9s, essaie \u00e9galement d’amener les gens \u00e0 t\u00e9l\u00e9charger toutes sortes de logiciels malveillants.”<\/p>\n L’ex\u00e9cutable initial agit comme un conduit pour ex\u00e9cuter un script PowerShell qui fournit un malware de botnet nomm\u00e9 Amadey, ainsi que deux autres binaires .NET, chacun compil\u00e9 pour une architecture 32 et 64 bits.<\/p>\n Le binaire, nomm\u00e9 Packere, est responsable du t\u00e9l\u00e9chargement d’une DLL crypt\u00e9e, qui, \u00e0 son tour, charge un deuxi\u00e8me fichier DLL qui lance la charge utile Massjacker en l’injectant dans un processus Windows l\u00e9gitime appel\u00e9 “instalutil.exe”.<\/p>\n La DLL crypt\u00e9e int\u00e8gre des caract\u00e9ristiques qui am\u00e9liorent sa capacit\u00e9 d’\u00e9vasion et d’anti-analyse, y compris juste en temps (Jit<\/a>) Crowing, mappage de jetons de m\u00e9tadonn\u00e9es pour cacher les appels de fonction et une machine virtuelle personnalis\u00e9e pour interpr\u00e9ter les commandes au lieu d’ex\u00e9cuter un code .NET r\u00e9gulier.<\/p>\n Massjacker, pour sa part, est livr\u00e9 avec ses propres v\u00e9rifications anti-d\u00e9bugage et une configuration pour r\u00e9cup\u00e9rer tous les mod\u00e8les d’expression r\u00e9guliers pour signaler les adresses de portefeuille de crypto-monnaie dans le presse-papiers. Il contacte \u00e9galement un serveur distant pour t\u00e9l\u00e9charger des fichiers contenant la liste des portefeuilles sous le contr\u00f4le de l’acteur de menace.<\/p>\n “Massjacker cr\u00e9e un gestionnaire d’\u00e9v\u00e9nements \u00e0 courir chaque fois que la victime copie quoi que ce soit”, a d\u00e9clar\u00e9 Novick. “Le gestionnaire v\u00e9rifie les experts, et s’il trouve une correspondance, il remplace le contenu copi\u00e9 par un portefeuille appartenant \u00e0 l’acteur de menace de la liste t\u00e9l\u00e9charg\u00e9e.”<\/p>\n Cyberark a d\u00e9clar\u00e9 avoir identifi\u00e9 plus de 778 531 adresses uniques appartenant aux attaquants, dont seulement 423 contenant des fonds totalisant environ 95 300 $. Mais le montant total des actifs num\u00e9riques d\u00e9tenus dans tous ces portefeuilles avant leur transfert s’\u00e9l\u00e8ve \u00e0 environ 336 700 $.<\/p>\n De plus, la crypto-monnaie d’une valeur d’environ 87 000 $ (600 SOL) a \u00e9t\u00e9 retrouv\u00e9e stationn\u00e9e dans un seul portefeuille, avec plus de 350 transactions canalisant de l’argent dans le portefeuille \u00e0 partir de diff\u00e9rentes adresses. <\/p>\n Exactement qui est derri\u00e8re Massjacker est inconnu, bien qu’un examen plus profond du code source ait identifi\u00e9 des chevauchements avec Un autre malware<\/a> Connue sous le nom de Masslogger, qui a \u00e9galement exploit\u00e9 le jit accroch\u00e9 pour tenter de r\u00e9sister aux efforts d’analyse.<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/div>\n