{"id":1596586,"date":"2025-03-26T13:24:37","date_gmt":"2025-03-26T15:24:37","guid":{"rendered":"https:\/\/teknomers.com\/fr\/encrypthub-exploite-windows-zero-day-pour-deployer-rhadamanthys-et-stealc-malware\/"},"modified":"2025-03-26T13:24:42","modified_gmt":"2025-03-26T15:24:42","slug":"encrypthub-exploite-windows-zero-day-pour-deployer-rhadamanthys-et-stealc-malware","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/encrypthub-exploite-windows-zero-day-pour-deployer-rhadamanthys-et-stealc-malware\/","title":{"rendered":"Encrypthub exploite Windows Zero-Day pour d\u00e9ployer Rhadamanthys et Stealc malware"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>26 mars 2025<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 \/ vuln\u00e9rabilit\u00e9 Windows<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

L’acteur de menace connu sous le nom de Encrypthub a exploit\u00e9 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 r\u00e9cemment paralys\u00e9e dans Microsoft Windows comme un jour z\u00e9ro pour offrir un large \u00e9ventail de familles de logiciels malveillants, y compris des d\u00e9chets et des voleurs d’informations tels que Rhadamanthys et Stealc.<\/p>\n

“Dans cette attaque, l’acteur de menace manipule les fichiers .msc et le chemin d’interface utilisateur multilingue (Muipath) pour t\u00e9l\u00e9charger et ex\u00e9cuter la charge utile malveillante, maintenir la persistance et voler des donn\u00e9es sensibles \u00e0 des syst\u00e8mes infect\u00e9s”, a d\u00e9clar\u00e9 le chercheur de tendance Aliakbar Zahravi dit<\/a> dans une analyse.<\/p>\n

La vuln\u00e9rabilit\u00e9 en question est CVE-2025-26633 (score CVSS: 7.0), d\u00e9crite par Microsoft comme une vuln\u00e9rabilit\u00e9 de neutralisation incorrecte dans la console de gestion de Microsoft (MMC<\/a>) Cela pourrait permettre \u00e0 un attaquant de contourner localement une fonction de s\u00e9curit\u00e9. Il a \u00e9t\u00e9 corrig\u00e9 par la soci\u00e9t\u00e9 au d\u00e9but du mois dans le cadre de sa mise \u00e0 jour du patch mardi.<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/div>\n

Trend Micro a donn\u00e9 \u00e0 l’exploit le surnom MSC Eviltwin, suivant le cluster d’activit\u00e9s russes pr\u00e9sum\u00e9 sous le nom de Water Gamayun. L’acteur de menace, r\u00e9cemment l’objet d’analyses de Prodaft et UptPost24, est \u00e9galement appel\u00e9 LARVA-208.<\/p>\n

Le CVE-2025-26633, \u00e0 la base, exploite le cadre de la console de gestion Microsoft (MMC) pour ex\u00e9cuter un fichier Microsoft Console (.MSC) malveillant au moyen d’un chargeur PowerShell appel\u00e9 MSC Eviltwin Loder.<\/p>\n

Plus pr\u00e9cis\u00e9ment, il implique le chargeur cr\u00e9ant deux fichiers .msc avec le m\u00eame nom: un fichier propre et son homologue voyou qui est d\u00e9pos\u00e9 au m\u00eame emplacement mais dans un r\u00e9pertoire nomm\u00e9 “En-Us”. L’id\u00e9e est que lorsque le premier est ex\u00e9cut\u00e9, MMC choisit par inadvertance le fichier malveillant \u00e0 la place et l’ex\u00e9cute. Ceci est accompli en exploitant la fonctionnalit\u00e9 de chemin d’interface utilisateur multilingue de MMC (Muipath).<\/p>\n

\"Windows<\/a><\/div>\n

“En abusant de la fa\u00e7on dont MMC.exe utilise Muipath, l’attaquant peut \u00e9quiper Muipath en-US d’un fichier .msc malveillant, qui provoque le chargement de MMC.exe ce fichier malveillant au lieu du fichier d’origine et ex\u00e9cut\u00e9 \u00e0 l’insu de la victime”, a expliqu\u00e9 Zahravi.<\/p>\n

Encrypthub a \u00e9galement \u00e9t\u00e9 observ\u00e9 en adoptant deux autres m\u00e9thodes pour ex\u00e9cuter une charge utile malveillante sur un syst\u00e8me infect\u00e9 \u00e0 l’aide de fichiers .msc –<\/p>\n