Microsoft attire l’attention sur un nouveau cheval de Troie (rat) d’acc\u00e8s \u00e0 distance nomm\u00e9 Stilachirat<\/strong> Le fait qu’il a d\u00e9clar\u00e9 utilise des techniques avanc\u00e9es pour contourner la d\u00e9tection et persister dans les environnements cibles dans un objectif ultime de voler des donn\u00e9es sensibles.<\/p>\n Le malware contient des capacit\u00e9s de “voler des informations du syst\u00e8me cible, telles que les informations d’identification stock\u00e9es dans le navigateur, les informations num\u00e9riques du portefeuille, les donn\u00e9es stock\u00e9es dans le presse-papiers, ainsi que les informations syst\u00e8me” dit<\/a> dans une analyse.<\/p>\n Le g\u00e9ant de la technologie a d\u00e9clar\u00e9 avoir d\u00e9couvert Stilachirat en novembre 2024, avec ses caract\u00e9ristiques de rat pr\u00e9sentes dans un module DLL nomm\u00e9 “wwstartupctrl64.dll”. Le malware n’a \u00e9t\u00e9 attribu\u00e9 \u00e0 aucun acteur ou pays de menace sp\u00e9cifique.<\/p>\n Il n’est actuellement pas clair comment le malware est livr\u00e9 aux cibles, mais Microsoft a not\u00e9 que ces chevaux de Troie peuvent \u00eatre install\u00e9s via diverses voies d’acc\u00e8s initiales, ce qui rend crucial que les organisations mettent en \u0153uvre des mesures de s\u00e9curit\u00e9 ad\u00e9quates.<\/p>\n Stilachirat est con\u00e7u pour recueillir des informations approfondies syst\u00e8me, y compris les d\u00e9tails du syst\u00e8me d’exploitation (OS), des identifiants mat\u00e9riels tels que les num\u00e9ros de s\u00e9rie BIOS, la pr\u00e9sence de la cam\u00e9ra, les s\u00e9ances de protocole de bureau \u00e0 distance active (RDP) et les applications d’interface utilisateur graphique (GUI) en cours d’ex\u00e9cution.<\/p>\n Ces d\u00e9tails sont collect\u00e9s via les interfaces de gestion d’entreprise bas\u00e9es sur le mod\u00e8le d’objet composant (COM) (WBEM) \u00e0 l’aide du langage de requ\u00eate WMI (WQL). <\/p>\n Il est \u00e9galement con\u00e7u pour cibler une liste des extensions de portefeuille de crypto-monnaie install\u00e9es dans le navigateur Web Google Chrome. La liste comprend le portefeuille Bitget, le portefeuille de confiance, Tronlink, Metamask, Tokenpocket, BNB Chain Wallet, Okx Wallet, SUI Wallet, Braavos – Wallet Starknet, Coinbase Wallet, Leap Cosmos Wallet, Manta Wallet, Keplr, Phantom, porteflux pour SEI, Math portefeuille, portefeuille fractal, Wallet, Wallet, Wallet.<\/p>\n En outre, Stilachirat extrait les informations d’identification stock\u00e9es dans le navigateur Chrome, collecte p\u00e9riodiquement du contenu du presse-papiers telles que les mots de passe et les portefeuilles de crypto-monnaie, surveille les s\u00e9ances RDP en capturant les informations de fen\u00eatre de premier plan et \u00e9tablit un contact avec un serveur distant pour exfiltration des donn\u00e9es r\u00e9colt\u00e9es.<\/p>\n Les communications du serveur de commande et de contr\u00f4le (C2) sont \u00e0 double sens, permettant aux logiciels malveillants de lancer des instructions envoy\u00e9es par elle. Les fonctionnalit\u00e9s indiquent un outil polyvalent pour l’espionnage et la manipulation du syst\u00e8me. Jusqu’\u00e0 10 commandes diff\u00e9rentes sont prises en charge –<\/p>\n “Stilachirat affiche un comportement anti-forensique en effa\u00e7ant les journaux des \u00e9v\u00e9nements et en v\u00e9rifiant certaines conditions du syst\u00e8me pour \u00e9chapper \u00e0 la d\u00e9tection”, a d\u00e9clar\u00e9 Microsoft. “Cela inclut les v\u00e9rifications en boucle pour les outils d’analyse et les minuteries de bac \u00e0 sable qui emp\u00eachent son activation compl\u00e8te dans des environnements virtuels couramment utilis\u00e9s pour l’analyse des logiciels malveillants.”<\/p>\n La divulgation vient sous le nom de Palo Alto Networks Unit 42 d\u00e9taill\u00e9<\/a> Trois \u00e9chantillons de logiciels malveillants inhabituels qu’il a d\u00e9tect\u00e9s l’ann\u00e9e derni\u00e8re, en comptant une porte d\u00e9rob\u00e9e passive des services d’information sur Internet (IIS) d\u00e9velopp\u00e9 en C ++ \/ CLI, un bootkit qui utilise un pilote de noyau non garanti pour installer un chargeur de d\u00e9marrage Grub 2, et un implant Windows d’un cadre de post-exploitation de la plate-forme transversale d\u00e9velopp\u00e9 dans C ++ appel\u00e9 ProjectGeas.<\/p>\n La porte d\u00e9rob\u00e9e IIS est \u00e9quip\u00e9e pour analyser certaines demandes HTTP entrantes contenant un en-t\u00eate pr\u00e9d\u00e9fini et ex\u00e9cuter les commandes en eux, en lui accordant la possibilit\u00e9 d’ex\u00e9cuter des commandes, d’obtenir des m\u00e9tadonn\u00e9es syst\u00e8me, de cr\u00e9er de nouveaux processus, d’ex\u00e9cuter du code PowerShell et d’injecter ShellCode dans un processus ex\u00e9cutif ou nouveau. <\/p>\n Le bootkit, en revanche, est une DLL 64 bits qui installe une image de disque de chargeur de d\u00e9marrage Grub 2 au moyen d’un pilote de noyau l\u00e9gitimement sign\u00e9 nomm\u00e9 AMPA.SYS. Il est \u00e9valu\u00e9 comme une preuve de concept (POC) cr\u00e9\u00e9 par des parties inconnues de l’Universit\u00e9 du Mississippi.<\/p>\n “Lorsqu’il est red\u00e9marr\u00e9, le chargeur de d\u00e9marrage Grub 2 montre une image et joue p\u00e9riodiquement Gamelle<\/a> via le haut-parleur PC. Ce comportement pourrait indiquer que le malware est une farce offensive “, a d\u00e9clar\u00e9 le chercheur de l’unit\u00e9 42, Dominik Reichel.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Microsoft-avertit-de-Stilachirat-un-rat-furtif-ciblant-les-references.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n