Les autorit\u00e9s charg\u00e9es de l’application des lois ont annonc\u00e9 qu’ils avaient retrouv\u00e9 les clients du malware Smokeloader et d\u00e9tenu au moins cinq personnes.<\/p>\n
“Dans un S\u00e9rie d’actions coordonn\u00e9es<\/a>les clients du botnet SmokeLoader Pay-per-install, exploit\u00e9 par l’acteur connu sous le nom de “ Superstar ”, ont \u00e9t\u00e9 confront\u00e9s \u00e0 des cons\u00e9quences telles que des arrestations, des perquisitions de maisons, des mandats d’arr\u00eat ou des \u00abcoups et des pourparlers\u00bb, \u00abEuropol dit<\/a> dans une d\u00e9claration.<\/p>\n Superstar aurait ex\u00e9cut\u00e9 un service de paiement \u00e0 l’installation qui a permis \u00e0 ses clients d’obtenir un acc\u00e8s non autoris\u00e9 aux machines de victime, en utilisant le chargeur comme conduit pour d\u00e9ployer des charges utiles de leur choix.<\/p>\n Selon l’agence europ\u00e9enne de l’application des lois, l’acc\u00e8s accord\u00e9 par le botnet a \u00e9t\u00e9 utilis\u00e9 \u00e0 diverses fins tels que le keylogging, l’acc\u00e8s \u00e0 la webcam, le d\u00e9ploiement des ransomwares et l’exploitation des crypto-monnaies.<\/p>\n La derni\u00e8re action, qui fait partie d’un exercice coordonn\u00e9 en cours appel\u00e9 Operation Endgame, qui a conduit au d\u00e9mant\u00e8lement des infrastructures en ligne associ\u00e9es \u00e0 plusieurs op\u00e9rations de chargeur de logiciels malveillants comme IceDID, SystemBC, Pikabot, SmokeLoader, Bumblebee et TrickBot l’ann\u00e9e derni\u00e8re.<\/p>\n Le Canada, la R\u00e9publique tch\u00e8que, le Danemark, la France, l’Allemagne, les Pays-Bas et les \u00c9tats-Unis ont particip\u00e9 \u00e0 l’effort de suivi qui vise \u00e0 se concentrer sur le \u00abc\u00f4t\u00e9 de la demande\u00bb de l’\u00e9cosyst\u00e8me de cybercriminalit\u00e9.<\/p>\n Les autorit\u00e9s, par Europol, ont retrouv\u00e9 les clients inscrits dans une base de donn\u00e9es qui a \u00e9t\u00e9 pr\u00e9c\u00e9demment saisie, reliant leurs personnages en ligne \u00e0 des individus r\u00e9els et les appelant \u00e0 des questions. Un nombre non sp\u00e9cifi\u00e9 de suspects aurait choisi de coop\u00e9rer et de faire examiner leurs appareils personnels pour collecter des preuves num\u00e9riques.<\/p>\n “Plusieurs suspects ont r\u00e9pondu aux services achet\u00e9s aupr\u00e8s de SmokeLoader lors d’un balisage, ajoutant ainsi une couche suppl\u00e9mentaire d’int\u00e9r\u00eat \u00e0 l’enqu\u00eate”, a d\u00e9clar\u00e9 Europol. “Certains suspects avaient suppos\u00e9 qu’ils ne faisaient plus sur le radar de l’application des lois, pour se rendre \u00e0 la durement r\u00e9alis\u00e9 qu’ils \u00e9taient toujours cibl\u00e9s.”<\/p>\n Le d\u00e9veloppement vient sous le nom de symantec appartenant \u00e0 Broadcom r\u00e9v\u00e9l\u00e9<\/a> D\u00e9tails d’une campagne de phishing qui utilise le format de fichier Scrasse-Screensaver (SCR) Windows pour distribuer un chargeur de logiciel malveillant bas\u00e9 \u00e0 Delphi nomm\u00e9 Modiloader (aka dbatloader et natsoloader) sur les machines des victimes.<\/p>\n Il co\u00efncide \u00e9galement avec une campagne Web \u00e9vasive qui incite les utilisateurs \u00e0 ex\u00e9cuter des fichiers d’installation Windows malveillants (MSI) pour d\u00e9ployer un autre logiciel malveillant de chargeur appel\u00e9 L\u00e9gion Loader.<\/p>\n “Cette campagne utilise une m\u00e9thode appel\u00e9e ‘coller<\/a>\u00abou\u00ab d\u00e9tournement de presse-papiers \u00bbparce que les t\u00e9l\u00e9spectateurs sont invit\u00e9s \u00e0 coller le contenu dans une fen\u00eatre d’ex\u00e9cution,\u00ab Unit\u00e9 Palo Alto Networks 42 dit<\/a>l’ajout exploite plusieurs strat\u00e9gies de masquage pour \u00e9chapper \u00e0 la d\u00e9tection \u00e0 travers les pages CAPTCHA et \u00e0 d\u00e9guiser les pages de t\u00e9l\u00e9chargement de logiciels malveillants en tant que sites de blog.<\/p>\n Les campagnes de phishing ont \u00e9galement \u00e9t\u00e9 un v\u00e9hicule de livraison pour KOI Loader, qui est ensuite utilis\u00e9 pour t\u00e9l\u00e9charger et ex\u00e9cuter un voleur d’informations appel\u00e9 KOI Stealer dans le cadre d’une s\u00e9quence d’infection \u00e0 plusieurs \u00e9tapes.<\/p>\n “L’utilisation des capacit\u00e9s anti-VM par des logiciels malveillants comme Koi Loader et Koi Stealer met en \u00e9vidence la capacit\u00e9 des menaces modernes d’\u00e9chapper \u00e0 l’analyse et \u00e0 la d\u00e9tection par les analystes, les chercheurs et les bacs de sable”, Esentire dit<\/a> Dans un rapport publi\u00e9 le mois dernier.<\/p>\n Et ce n’est pas tout. Les derniers mois ont encore une fois t\u00e9moin<\/a> Le retour de Gootloader (alias SlowPour), qui est diffus\u00e9 via des r\u00e9sultats de recherche parrain\u00e9s sur Google, une technique rep\u00e9r\u00e9e d\u00e9but novembre 2024.<\/p>\n L’attaque cible les utilisateurs \u00e0 la recherche de “mod\u00e8le d’accord de non-divulgation” sur Google pour diffuser des annonces de faux[.]com “) o\u00f9 ils sont invit\u00e9s \u00e0 saisir leurs adresses e-mail pour recevoir le document.<\/p>\n “Peu de temps apr\u00e8s avoir saisi leur e-mail, ils recevront un e-mail de Lawyer @ SKHM[.]Org, avec un lien vers leur document Word demand\u00e9 (DOCX), “Selon un chercheur en s\u00e9curit\u00e9 qui porte le nom de Gootloader et a surveill\u00e9 \u00e9troitement le chargeur de logiciels malveillants pendant plusieurs ann\u00e9es.<\/p>\n “Si l’utilisateur a pass\u00e9 toutes ses portes, il t\u00e9l\u00e9chargera un fichier JavaScript zipp\u00e9.<\/p>\n Un t\u00e9l\u00e9chargeur JavaScript connu sous le nom de FakeUpdates (aka SocGholish) qui se propage g\u00e9n\u00e9ralement via des stratag\u00e8mes d’ing\u00e9nierie sociale qui trompe les utilisateurs d’installation du malware en d\u00e9guisant une mise \u00e0 jour l\u00e9gitime pour les navigateurs Web comme Google Chrome.<\/p>\n “Les attaquants distribuent des logiciels malveillants en utilisant des ressources compromises, injectant un JavaScript malveillant en sites vuln\u00e9rables aux h\u00f4tes d’empreintes digitales, effectuez des v\u00e9rifications d’admissibilit\u00e9 et affichez de fausses pages de mise \u00e0 jour”, Google dit<\/a>. “Le logiciel malveillant est g\u00e9n\u00e9ralement livr\u00e9 via des t\u00e9l\u00e9chargements de lecteur. Le malveillant JavaScript agit comme un t\u00e9l\u00e9chargeur, offrant des logiciels malveillants suppl\u00e9mentaires.”<\/p>\n Le faux parcours d’attaque de mise \u00e0 jour du navigateur a \u00e9galement \u00e9t\u00e9 observ\u00e9 en distribuant deux autres familles de logiciels malveillants JavaScript appel\u00e9s FakesMuggs, qui porte le nom de l’utilisation de la contrebande de HTML pour fournir des charges utiles \u00e0 la prochaine \u00e9tape telles que le gestionnaire de netsupport, et l’envoi d’informations de base de l’h\u00f4te.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Europol-arrete-cinq-clients-smokeloder-lies-par-des-preuves-de.jpg\")
<\/a><\/center><\/div>\nLes chargeurs de logiciels malveillants se pr\u00e9sentent sous diff\u00e9rentes formes<\/h3>\n
<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n