Les acteurs de la menace derri\u00e8re l’exploitation z\u00e9ro-jour d’une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 r\u00e9cemment paralys\u00e9e \u00e0 Microsoft Windows ont \u00e9t\u00e9 trouv\u00e9s pour livrer deux nouvelles d\u00e9ambulations appel\u00e9es Priss muet <\/b>et Sombre<\/b>.<\/p>\n
L’activit\u00e9 a \u00e9t\u00e9 attribu\u00e9e \u00e0 un groupe de piratage russe pr\u00e9sum\u00e9 appel\u00e9 Water Gamayun, \u00e9galement connu sous le nom de Encrypthub et Larva-208.<\/p>\n
“L’acteur de menace d\u00e9ploie des charges utiles principalement au moyen de packages d’approvisionnement malveillants, de fichiers .msi sign\u00e9s et de fichiers MSC Windows, en utilisant des techniques comme l’Intellij Runnerw.exe pour l’ex\u00e9cution de la commande”, Trend Micro Researchers Aliakbar Zahravi et Ahmed Mohamed Ibrahim Tend dit<\/a> Dans une analyse de suivi publi\u00e9e la semaine derni\u00e8re.<\/p>\n Water Gamayun a \u00e9t\u00e9 li\u00e9 \u00e0 l’exploitation active du CVE-2025-26633 (AKA MSC Eviltwin), une vuln\u00e9rabilit\u00e9 dans le cadre de la console de gestion Microsoft (MMC), pour ex\u00e9cuter des logiciels malveillants au moyen d’un fichier voyou Microsoft Console (.MSC).<\/p>\n Les cha\u00eenes d’attaque impliquent l’utilisation de packages d’approvisionnement (.ppkg), de fichiers d’installation Microsoft Windows sign\u00e9s (.msi) et de fichiers .msc pour fournir des voleurs et des d\u00e9chets capables de pers\u00e9v\u00e9rance et de vol de donn\u00e9es. <\/p>\n Encrypthub a attir\u00e9 l’attention vers la fin juin 2024, apr\u00e8s avoir utilis\u00e9 un r\u00e9f\u00e9rentiel GitHub nomm\u00e9 “EncrypThub” pour pousser divers types de familles de logiciels malveillants, y compris les voleurs, les mineurs et les ransomwares, via un faux site Web de Winrar<\/a>. Les acteurs de la menace sont depuis pass\u00e9s \u00e0 leur infrastructure \u00e0 des fins de mise en sc\u00e8ne et de commandement et de contr\u00f4le (C&C).<\/p>\n Les installateurs .MSI utilis\u00e9s dans les attaques se masquent comme un logiciel de messagerie et de r\u00e9union l\u00e9gitime tels que Dingtalk, QQTalk et Voov. Ils sont con\u00e7us pour ex\u00e9cuter un t\u00e9l\u00e9chargeur PowerShell, qui est ensuite utilis\u00e9 pour r\u00e9cup\u00e9rer et ex\u00e9cuter la charge utile \u00e0 la prochaine \u00e9tape sur un h\u00f4te compromis.<\/p>\n L’un de ces logiciels malveillants est un implant PowerShell surnomm\u00e9 unprime silent qui peut configurer la persistance, ex\u00e9cuter plusieurs commandes de shell simultan\u00e9ment et maintenir le contr\u00f4le \u00e0 distance, tout en incorporant \u00e9galement des techniques d’anti-analyse pour \u00e9chapper \u00e0 la d\u00e9tection. Une autre porte d\u00e9rob\u00e9e PowerShell \u00e0 noter est Darkwisp, qui permet la reconnaissance du syst\u00e8me, l’exfiltration de donn\u00e9es sensibles et la persistance. <\/p>\n “Une fois que les logiciels malveillants exfiltraient la reconnaissance et les informations syst\u00e8me au serveur C&C, il entre une boucle continue en attendant les commandes”, ont d\u00e9clar\u00e9 les chercheurs. “Le malware accepte les commandes via une connexion TCP sur le port 8080, o\u00f9 les commandes arrivent dans la commande format | “La boucle de communication principale assure une interaction continue avec le serveur, g\u00e9rer les commandes, maintenir la connectivit\u00e9 et transmettre des r\u00e9sultats en toute s\u00e9curit\u00e9.”<\/p>\n La troisi\u00e8me charge utile abandonn\u00e9e dans les attaques est le chargeur MSC Eviltwin qui arme le CVE-2025-26633 pour ex\u00e9cuter un fichier .MSC malveillant, conduisant finalement au d\u00e9ploiement du voleur de Rhadamanthys. Le chargeur est \u00e9galement con\u00e7u pour effectuer un nettoyage du syst\u00e8me afin d’\u00e9viter de quitter un sentier m\u00e9dico-l\u00e9gal.<\/p>\n Rhadamanthys est loin d’\u00eatre le seul voleur dans l’arsenal de Gamayun, car il a \u00e9t\u00e9 observ\u00e9 en train de livrer un autre voleur de marchandises appel\u00e9 Stealc, ainsi que trois variantes de powershell personnalis\u00e9es appel\u00e9es variante de voleur Encrypthub A, variante B et variante C.<\/p>\n Le voleur sur mesure est des logiciels malveillants enti\u00e8rement tracases qui peuvent collecter des informations syst\u00e8me approfondies, y compris des d\u00e9tails sur les logiciels antivirus, des logiciels install\u00e9s, des adaptateurs r\u00e9seau et des applications ex\u00e9cut\u00e9es. Il extrait \u00e9galement les mots de passe Wi-Fi, les touches de produit Windows, l’historique du presse-papiers, les informations d’identification du navigateur et les donn\u00e9es de session \u00e0 partir de diverses applications li\u00e9es \u00e0 la messagerie, VPN, FTP et gestion de mot de passe.<\/p>\n En outre, il distingue sp\u00e9cifiquement des fichiers correspondant \u00e0 certains mots cl\u00e9s et extensions, indiquant une focalisation sur la collecte de phrases de r\u00e9cup\u00e9ration associ\u00e9es aux portefeuilles de crypto-monnaie.<\/p>\n “Ces variantes pr\u00e9sentent des fonctionnalit\u00e9s et des capacit\u00e9s similaires, avec seulement des modifications mineures les distinguant”, ont not\u00e9 les chercheurs. “Toutes les variantes d’encrypthub couvertes dans cette recherche sont des versions modifi\u00e9es du voleur k\u00e9matien open source.”<\/p>\n Une it\u00e9ration du voleur Encrypthub est remarquable pour l’utilisation d’une nouvelle technique binaire de vie (lolbin) dans laquelle le lanceur de processus Intellij “Runnerw.exe” est utilis\u00e9 pour proxyer l’ex\u00e9cution d’un script puissant \u00e0 distance sur un syst\u00e8me infect\u00e9.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-russes-exploitent-CVE-2025-26633-via-MSC-Eviltwin-pour-deployer.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n