Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une version mise \u00e0 jour d’un chargeur de logiciels malveillants appel\u00e9e Hijack Loader qui impl\u00e9mente de nouvelles fonctionnalit\u00e9s pour \u00e9chapper \u00e0 la d\u00e9tection et \u00e9tablir la persistance sur les syst\u00e8mes compromis.<\/p>\n
“Hijack Loader a publi\u00e9 un nouveau module qui impl\u00e9mente l’usurpation de pile d’appels pour masquer l’origine des appels de fonction (par exemple, API et appels syst\u00e8me)”, chercheur Zscaler \u00e0 la r\u00e9f\u00e9rence Muhammed Irfan VA dit<\/a> dans une analyse. “Hijack Loader a ajout\u00e9 un nouveau module pour effectuer des v\u00e9rifications anti-VM pour d\u00e9tecter les environnements d’analyse des logiciels malveillants et les bacs \u00e0 sable.”<\/p>\n Hijack Loader, d\u00e9couvert pour la premi\u00e8re fois en 2023, offre la possibilit\u00e9 de livrer des charges utiles de deuxi\u00e8me \u00e9tape telles que les logiciels malveillants du voleur d’informations. Il est \u00e9galement livr\u00e9 avec une vari\u00e9t\u00e9 de modules pour contourner les logiciels de s\u00e9curit\u00e9 et injecter du code malveillant. Hijack Loader est suivi par la communaut\u00e9 de cybers\u00e9curit\u00e9 plus large sous les noms Doiloader, Ghostpulse, Idat Loader et Shadowladder.<\/p>\n En octobre 2024, Harfanglab and Elastic Security Labs a d\u00e9taill\u00e9 les campagnes de chargeur de hi\u00e9rarchie qui ont mis \u00e0 profit les certificats de signature de code l\u00e9gitimes ainsi que la fameuse strat\u00e9gie Clickfix pour distribuer le malware.<\/p>\n La derni\u00e8re it\u00e9ration du chargeur est livr\u00e9e avec un certain nombre d’am\u00e9liorations par rapport \u00e0 son pr\u00e9d\u00e9cesseur, la plus notable \u00e9tant l’ajout de l’usurpation de pile d’appels en tant que tactique d’\u00e9vasion pour cacher l’origine des appels API et du syst\u00e8me, une m\u00e9thode r\u00e9cemment \u00e9galement adopt\u00e9e par un autre chargeur de logiciel malveillant connu sous le nom de Coffeoader.<\/p>\n “Cette technique utilise une cha\u00eene de pointeurs EBP pour traverser la pile et cacher la pr\u00e9sence d’un appel malveillant dans la pile en rempla\u00e7ant les cadres de pile r\u00e9els par des cadres fabriqu\u00e9s”, a d\u00e9clar\u00e9 Zscaler.<\/p>\n Comme pour les versions pr\u00e9c\u00e9dentes, le chargeur de d\u00e9tournement exploite la technique de la porte du paradis pour ex\u00e9cuter des syst\u00e8mes directs 64 bits pour l’injection de processus. D’autres modifications incluent une r\u00e9vision de la liste des processus listes en blocs pour inclure “Avastsvc.exe”, un composant d’Avast Antivirus, pour retarder l’ex\u00e9cution de cinq secondes.<\/p>\n Le malware int\u00e8gre \u00e9galement deux nouveaux modules, \u00e0 savoir AntiVM pour d\u00e9tecter les machines virtuelles et modtask pour configurer la persistance via des t\u00e2ches planifi\u00e9es.<\/p>\n Les r\u00e9sultats montrent que le chargeur de d\u00e9tournement continue d’\u00eatre activement maintenu par ses op\u00e9rateurs dans le but de compliquer l’analyse et la d\u00e9tection.<\/p>\n Le d\u00e9veloppement intervient alors que les laboratoires de s\u00e9curit\u00e9 \u00e9lastiques d\u00e9taill\u00e9s d’une nouvelle famille de logiciels malveillants surnomment Shelby qui utilise GitHub pour la commande et le contr\u00f4le (C2), l’exfiltration de donn\u00e9es et la t\u00e9l\u00e9commande. L’activit\u00e9 est suivie en tant que Ref8685.<\/p>\n La cha\u00eene d’attaque implique l’utilisation d’un e-mail de phishing comme point de d\u00e9part pour distribuer une archive zip contenant un binaire .NET qui est utilis\u00e9 pour ex\u00e9cuter un chargeur de DLL suivi comme Shelbyloader (“httpService.dll”) via le chargement lat\u00e9ral DLL. Les e-mails ont \u00e9t\u00e9 livr\u00e9s \u00e0 une entreprise de t\u00e9l\u00e9communications bas\u00e9e en Irak gr\u00e2ce \u00e0 un e-mail de phishing tr\u00e8s cibl\u00e9 envoy\u00e9 au sein de l’organisation cibl\u00e9e.<\/p>\n Le chargeur initie ensuite des communications avec GitHub pour C2 pour extraire une valeur sp\u00e9cifique de 48 octets \u00e0 partir d’un fichier nomm\u00e9 “Licence.txt” dans le r\u00e9f\u00e9rentiel contr\u00f4l\u00e9 par les attaquants. La valeur est ensuite utilis\u00e9e pour g\u00e9n\u00e9rer une cl\u00e9 de d\u00e9cryptage AES et d\u00e9chiffrer la charge utile de porte d\u00e9rob\u00e9e principale (“httpapi.dll”) et le charger en m\u00e9moire sans laisser des artefacts d\u00e9tectables sur le disque.<\/p>\n “Shelbyloader utilise des techniques de d\u00e9tection de bac \u00e0 sable pour identifier les environnements virtualis\u00e9s ou surveill\u00e9s”, \u00e9lastique dit<\/a>. “Une fois ex\u00e9cut\u00e9, il renvoie les r\u00e9sultats \u00e0 C2. Ces r\u00e9sultats sont emball\u00e9s sous forme de fichiers journaux, d\u00e9taillant si chaque m\u00e9thode de d\u00e9tection a identifi\u00e9 avec succ\u00e8s un environnement de bac \u00e0 sable.”<\/p>\n La porte d\u00e9rob\u00e9e ShelBYC2, pour sa part, analyse les commandes r\u00e9pertori\u00e9es dans un autre fichier nomm\u00e9 “Command.txt” pour t\u00e9l\u00e9charger \/ t\u00e9l\u00e9charger des fichiers depuis \/ vers un r\u00e9f\u00e9rentiel GitHub, charger un binaire .NET R\u00e9fl\u00e9chit et ex\u00e9cuter les commandes PowerShell. Ce qui est notable ici, c’est que la communication C2 se produit via des engagements dans le r\u00e9f\u00e9rentiel priv\u00e9 en utilisant un jeton d’acc\u00e8s personnel (PAT).<\/p>\n “La fa\u00e7on dont le malware est configur\u00e9 signifie que toute personne avec le PAT (Token d’acc\u00e8s personnel) peut th\u00e9oriquement r\u00e9cup\u00e9rer les commandes envoy\u00e9es par l’attaquant et les sorties de commande d’acc\u00e8s de n’importe quelle machine victime”, a indiqu\u00e9 la soci\u00e9t\u00e9. “C’est parce que le jeton PAT est int\u00e9gr\u00e9 dans le binaire et peut \u00eatre utilis\u00e9 par quiconque l’obtient.”<\/p>\n Des e-mails de phishing portant des leurres sur le th\u00e8me du paiement ont \u00e9galement \u00e9t\u00e9 observ\u00e9s pour fournir une famille de chargeur de logiciels malveillants, nomm\u00e9 Emmenhtal Loader (aka Peaklight), qui agit comme un conduit pour d\u00e9ployer un autre malware connu sous le nom de smokeloder.<\/p>\n “Une technique notable observ\u00e9e dans cet \u00e9chantillon de smokeloader est l’utilisation de .NET Reactor, un outil de protection commercial .NET utilis\u00e9 pour l’obscurcissement et l’emballage”, GDATA dit<\/a>.<\/p>\n “Alors que SmokeLoader a historiquement exploit\u00e9 des emballeurs comme THIMA, ENIGMA Protector et Custom Crypters, l’utilisation du r\u00e9acteur .NET s’aligne sur les tendances observ\u00e9es dans d’autres familles de logiciels malveillants, en particulier les voleurs et les chargeurs, en raison de ses forts m\u00e9canismes anti-analyse.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Les-nouveaux-chargeurs-de-logiciels-malveillants-utilisent-lusurpation-de-pile.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\nShelby Malware utilise GitHub pour la commande et le contr\u00f4le<\/h3>\n
<\/a><\/div>\n<\/a><\/center><\/div>\nEmmenhtal r\u00e9partit SmokeLoader via des fichiers 7-zip<\/h3>\n
<\/a><\/div>\n