Des acteurs de menace ont \u00e9t\u00e9 observ\u00e9s distribuant des charges utiles malveillantes telles que le mineur de crypto-monnaie et les logiciels malveillants de Clipper via Sourceforge<\/a>un service d’h\u00e9bergement de logiciel populaire, sous le couvert de versions fissur\u00e9es d’applications l\u00e9gitimes comme Microsoft Office.<\/p>\n “Un tel projet, OfficePackage, sur le site Web principal SourceForge.net, semble assez inoffensif, contenant des compl\u00e9ments Microsoft Office copi\u00e9s \u00e0 partir d’un projet GitHub l\u00e9gitime”, Kaspersky dit<\/a> Dans un rapport publi\u00e9 aujourd’hui. “La description et le contenu de OfficePackage fournis ci-dessous ont \u00e9galement \u00e9t\u00e9 tir\u00e9s de GitHub.”<\/p>\n Alors que chaque projet cr\u00e9\u00e9 sur sourceforge.net se fait attribuer<\/a> un “ En plus de cela, le survol du bouton de t\u00e9l\u00e9chargement r\u00e9v\u00e8le une URL apparemment l\u00e9gitime dans la barre d’\u00e9tat du navigateur: “Loading.sourceforge[.]IO \/ Download, donnant l’impression que le lien de t\u00e9l\u00e9chargement est associ\u00e9 \u00e0 Sourceforge. Cependant, cliquer sur le lien redirige l’utilisateur vers une page compl\u00e8tement diff\u00e9rente h\u00e9berg\u00e9e sur “TapLink[.]CC “qui affiche en \u00e9vidence un autre bouton de t\u00e9l\u00e9chargement.<\/p>\n Si les victimes cliquent sur le bouton de t\u00e9l\u00e9chargement, ils se voient servis une archive zip de 7 Mo (“vinstaller.zip”), qui, une fois ouvert, contient une deuxi\u00e8me archive prot\u00e9g\u00e9e par mot de passe (“installateur.zip”) et un fichier texte avec le mot de passe pour ouvrir le fichier.<\/p>\n Dans le nouveau fichier zip se trouve un installateur MSI responsable de la cr\u00e9ation de plusieurs fichiers, un utilitaire d’archives de console appel\u00e9e “Unrar.exe”, une archive RAR et un script Visual Basic (VB).<\/p>\n “Le script VB ex\u00e9cute un interpr\u00e8te PowerShell pour t\u00e9l\u00e9charger et ex\u00e9cuter un fichier batch, confvk, de github”, a d\u00e9clar\u00e9 Kaspersky. “Ce fichier contient le mot de passe de l’archive RAR. Il d\u00e9balle \u00e9galement les fichiers malveillants et ex\u00e9cute le script \u00e0 \u00e9tape suivante.”<\/p>\n Le fichier batch est \u00e9galement con\u00e7u pour ex\u00e9cuter deux scripts PowerShell, dont l’un envoie des m\u00e9tadonn\u00e9es syst\u00e8me \u00e0 l’aide de l’API Telegram. L’autre fichier t\u00e9l\u00e9charge un autre script de lot qui agit ensuite sur le contenu de l’archive RAR, lan\u00e7ant finalement les charges utiles de Miner and Clipper (aka clipbanker).<\/p>\n L’ex\u00e9cutable NetCAT est \u00e9galement supprim\u00e9 (“ShellexperiendHost.exe”) qui \u00e9tablit une connexion crypt\u00e9e avec un serveur distant. Ce n’est pas tout. Le fichier Batch confvk s’est av\u00e9r\u00e9 cr\u00e9er un autre fichier nomm\u00e9 “ErrorHandler.cmd” qui contient un script PowerShell programm\u00e9 pour r\u00e9cup\u00e9rer et ex\u00e9cuter une cha\u00eene de texte via l’API Telegram.<\/p>\n Le fait que le site Web ait une interface russe indique un accent sur les utilisateurs russes. Les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie montrent que 90% des victimes potentielles sont en Russie, 4604 utilisateurs rencontrant le programme entre d\u00e9but janvier et fin mars.<\/p>\n Avec la sourceforge[.]Les pages IO index\u00e9es par les moteurs de recherche et apparaissant dans les r\u00e9sultats de recherche, on pense que les utilisateurs russes \u00e0 la recherche de Microsoft Office sur Yandex sont probablement la cible de la campagne.<\/p>\n “Alors que les utilisateurs cherchent des moyens de t\u00e9l\u00e9charger des applications en dehors des sources officielles, les attaquants offrent les leurs”, a d\u00e9clar\u00e9 Kaspersky. “Alors que l’attaque cible principalement les crypto-monnaies en d\u00e9ployant un mineur et un clipbanker, les attaquants pourraient vendre un acc\u00e8s au syst\u00e8me \u00e0 des acteurs plus dangereux.”<\/p>\n La divulgation intervient alors que la soci\u00e9t\u00e9 a r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une campagne qui distribue un t\u00e9l\u00e9chargeur de logiciels malveillants appel\u00e9e Takeps<\/a> via sites frauduleux<\/a> imitation du chatbot de l’intelligence artificielle en profondeur (AI), ainsi que des logiciels de mod\u00e9lisation \u00e0 distance et 3D.<\/p>\n Cela comprend des sites Web comme Deepseek-Aai-Soft[.]com, auquel les utilisateurs sans m\u00e9fiance sont redirig\u00e9s vers les r\u00e9sultats de recherche Google sponsoris\u00e9s, par Malwarebytes<\/a>.<\/p>\n TAYSPS est con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter des scripts PowerShell qui accordent un acc\u00e8s \u00e0 distance \u00e0 l’h\u00f4te infect\u00e9 via SSH, et supprime une version modifi\u00e9e d’un Troie doubl\u00e9 Tevirat. Cela met en \u00e9vidence les tentatives de l’acteur de menace pour obtenir un acc\u00e8s complet \u00e0 l’ordinateur de la victime de diverses mani\u00e8res.<\/p>\n “L’\u00e9chantillon […] Utilise l’\u00e9levage DLL pour modifier et d\u00e9ployer le logiciel d’acc\u00e8s \u00e0 distance TeamViewer sur des appareils infect\u00e9s “, a d\u00e9clar\u00e9 Kaspersky.” En termes simples, les attaquants placent une biblioth\u00e8que malveillante dans le m\u00eame dossier que TeamViewer, qui modifie le comportement et les param\u00e8tres par d\u00e9faut du logiciel, en le cachant de l’utilisateur et en fournissant aux attaquants un acc\u00e8s \u00e0 distance Covert. “<\/p>\n Le d\u00e9veloppement suit \u00e9galement la d\u00e9couverte des publicit\u00e9s Google malveillantes pour RVTools, un utilitaire VMware populaire, pour livrer une version alt\u00e9r\u00e9e qui est emp\u00each\u00e9e de Thundershell (AKA Smokedham), un outil d’acc\u00e8s \u00e0 distance bas\u00e9 sur PowerShell (RAT), soulignant comment la malvertisage reste une menace persistante et \u00e9volutive.<\/p>\n “Thundershell, parfois appel\u00e9 Smokedham, est un cadre post-exploitation accessible au public con\u00e7u pour les tests d’\u00e9quipe rouge et de p\u00e9n\u00e9tration” dit<\/a>. “Il fournit un environnement de commande et de contr\u00f4le (C2) qui permet aux op\u00e9rateurs d’ex\u00e9cuter des commandes sur des machines compromises via un agent bas\u00e9 \u00e0 PowerShell.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Cryptocurrency-Miner-et-Clipper-Malware-Spread-via-Sourceforge-Cracked-Software.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n