Les chercheurs en cybers\u00e9curit\u00e9 attirent l’attention sur un nouveau malware sophistiqu\u00e9 appel\u00e9 Coffeeoader<\/strong> qui est con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter les charges utiles secondaires.<\/p>\n Le malware, selon Zscaler ThreatLabz, partage des similitudes comportementales avec un autre chargeur de logiciel malveillant connu connu sous le nom de smokeloader. <\/p>\n “Le but du logiciel malveillant est de t\u00e9l\u00e9charger et d’ex\u00e9cuter des charges utiles de deuxi\u00e8me \u00e9tape tout en \u00e9chappant \u00e0 la d\u00e9tection par des produits de s\u00e9curit\u00e9 bas\u00e9s sur les points de terminaison”, Brett Stone-Gross, directeur principal de la renseignement des menaces chez ZSCaler, dit<\/a> Dans une r\u00e9daction technique publi\u00e9e cette semaine.<\/p>\n “Le malware utilise de nombreuses techniques pour contourner les solutions de s\u00e9curit\u00e9, y compris un packer sp\u00e9cialis\u00e9 qui utilise le GPU, l’usurpation de pile d’appels, l’obscurcissement du sommeil et l’utilisation de fibres de fen\u00eatres.”<\/p>\n Coffeoader, qui est originaire de septembre 2024, tire parti d’un algorithme de g\u00e9n\u00e9ration de domaine (DGA) en tant que m\u00e9canisme de secours au cas o\u00f9 les canaux principaux de commandement et de contr\u00f4le (C2) deviennent inaccessibles.<\/p>\n Central to the Malware se trouve un packer surnomm\u00e9 \u00e0 l’armurerie qui ex\u00e9cute le code sur le GPU d’un syst\u00e8me pour compliquer l’analyse dans des environnements virtuels. Il a \u00e9t\u00e9 ainsi nomm\u00e9 en raison du fait qu’il se fait l’identit\u00e9 du l\u00e9gitime Caisse d’armurerie<\/a> Utilit\u00e9 d\u00e9velopp\u00e9e par ASUS.<\/p>\n La s\u00e9quence d’infection commence par un compte-gouttes qui, entre autres, tente d’ex\u00e9cuter une charge utile DLL emball\u00e9e par l’armurerie (“armouryaiosdk.dll” ou “armourya.dll”) avec des privil\u00e8ges \u00e9lev\u00e9s, mais pas avant d’essayer de contourner le contr\u00f4le du compte utilisateur (UAC) si le dropper n’a pas les autorisations n\u00e9cessaires.<\/p>\n Le compte-gouttes est \u00e9galement con\u00e7u pour \u00e9tablir la persistance sur l’h\u00f4te au moyen d’une t\u00e2che planifi\u00e9e configur\u00e9e pour ex\u00e9cuter soit lors de la connexion de l’utilisateur avec le niveau d’ex\u00e9cution le plus \u00e9lev\u00e9 ou toutes les 10 minutes. Cette \u00e9tape est succ\u00e9d\u00e9 par l’ex\u00e9cution d’un composant Stager qui, \u00e0 son tour, charge le module principal.<\/p>\n “Le module principal met en \u0153uvre de nombreuses techniques pour \u00e9chapper \u00e0 la d\u00e9tection par l’antivirus (AV) et la d\u00e9tection et la r\u00e9ponse (EDR), y compris usurpation de pile d’appels<\/a>, obscurcir le sommeil<\/a>et en tirant parti Fibres Windows<\/a>\u00bb, A d\u00e9clar\u00e9 Stone-Gross.<\/p>\n Ces m\u00e9thodes sont capables de simuler un pile d’appels<\/a> \u00e0 obscurcir l’origine<\/a> d’un appel de fonction et obscurcissant la charge utile pendant qu’il est dans un \u00e9tat de sommeil, lui permettant ainsi de contourner la d\u00e9tection par le logiciel de s\u00e9curit\u00e9.<\/p>\n L’objectif ultime de CoffeELODER est de contacter un serveur C2 via HTTPS afin d’obtenir le malware malveillant. Cela inclut les commandes pour injecter et ex\u00e9cuter Rhadamanthys<\/a> shellcode.<\/p>\n Zscaler a d\u00e9clar\u00e9 avoir identifi\u00e9 un certain nombre de points communs entre Coffeeoader et SmokeLoader au niveau du code source, ce qui augmente la possibilit\u00e9 que ce soit la prochaine it\u00e9ration majeure de ce dernier, en particulier \u00e0 la suite d’un effort d’application de la loi l’ann\u00e9e derni\u00e8re qui a abattu son infrastructure.<\/p>\n “Il existe \u00e9galement des similitudes notables entre SmokeLoader et Coffeeoader, le premier distribuant le second, mais la relation exacte entre les deux familles de logiciels malveillants n’est pas encore claire”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Le d\u00e9veloppement vient sous le nom de SEQRITE LABS d\u00e9taill\u00e9<\/a> Une campagne d’e-mail de phishing pour lancer une cha\u00eene d’infection en plusieurs \u00e9tapes qui laisse tomber un logiciel malveillant de volet d’informations appel\u00e9 Snake Keylogger.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Coodeloader-utilise-un-packer-darmure-a-base-de-gpu-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n