Un nouvel outil malveillant qui permet aux cybercriminels de cr\u00e9er des raccourcis Windows malveillants (.LNK<\/a>) les fichiers ont \u00e9t\u00e9 mis en vente sur des forums de cybercriminalit\u00e9.<\/p>\n Doubl\u00e9 Constructeur de liens quantiques<\/b>le logiciel permet d’usurper n’importe quelle extension et de choisir parmi plus de 300 ic\u00f4nes, sans oublier le support UAC<\/a> et \u00c9cran intelligent de Windows<\/a> bypass ainsi que le fichier “plusieurs charges utiles par .LNK”. Des capacit\u00e9s de g\u00e9n\u00e9ration de charges utiles .HTA et d’image disque (.ISO) sont \u00e9galement propos\u00e9es.<\/p>\n Quantum Builder est disponible \u00e0 la location \u00e0 diff\u00e9rents prix : 189 \u20ac par mois, 355 \u20ac pour deux mois, 899 \u20ac pour six mois, ou en achat unique \u00e0 vie pour 1 500 \u20ac.<\/p>\n “Les fichiers .LNK sont des fichiers de raccourci qui r\u00e9f\u00e9rencent d’autres fichiers, dossiers ou applications pour les ouvrir”, ont d\u00e9clar\u00e9 les chercheurs de Cyble. a dit<\/a> dans un rapport. “La [threat actor] exploite les fichiers .LNK et supprime les charges utiles malveillantes \u00e0 l’aide LOLBins<\/a> [living-off-the-land binaries].”<\/p>\n Les premi\u00e8res preuves d’\u00e9chantillons de logiciels malveillants utilisant Quantum Builder dans la nature remonteraient au 24 mai, se faisant passer pour des fichiers texte inoffensifs (“test.txt.lnk”).<\/p>\n “Par d\u00e9faut, Windows masque l’extension .LNK, donc si un fichier est nomm\u00e9 file_name.txt.lnk, alors seul file_name.txt sera visible pour l’utilisateur m\u00eame si l’option d’affichage de l’extension de fichier est activ\u00e9e”, ont d\u00e9clar\u00e9 les chercheurs. “Pour ces raisons, cela pourrait \u00eatre une option int\u00e9ressante pour les assistants d’enseignement, en utilisant les fichiers .LNK comme d\u00e9guisement ou \u00e9cran de fum\u00e9e.”<\/p>\n Le lancement du fichier .LNK ex\u00e9cute le code PowerShell qui, \u00e0 son tour, ex\u00e9cute un fichier d’application HTML (“bdg.hta”) h\u00e9berg\u00e9 sur le site Web de Quantum (“quantum-software[.]en ligne”) en utilisant MSHTA<\/a>un utilitaire Windows l\u00e9gitime utilis\u00e9 pour ex\u00e9cuter des fichiers HTA.<\/p>\n Quantum Builder partagerait des liens avec le groupe Lazarus, bas\u00e9 en Cor\u00e9e du Nord, en raison des chevauchements au niveau du code source dans l’outil et du mode op\u00e9ratoire de ce dernier consistant \u00e0 tirer parti des fichiers .LNK pour fournir des charges utiles d’\u00e9tape suppl\u00e9mentaires, indiquant son utilisation potentielle par les acteurs APT dans leur attaques.<\/p>\n Le d\u00e9veloppement intervient alors que les op\u00e9rateurs derri\u00e8re Bumblebee et Emotet se tournent vers les fichiers .LNK comme conduit pour d\u00e9clencher les cha\u00eenes d’infection suite \u00e0 la d\u00e9cision de Microsoft de d\u00e9sactiver les macros Visual Basic pour Applications (VBA) par d\u00e9faut sur ses produits plus t\u00f4t cette ann\u00e9e.<\/p>\n Bumblebee, un rempla\u00e7ant du logiciel malveillant BazarLoader rep\u00e9r\u00e9 pour la premi\u00e8re fois en mars, fonctionne comme une porte d\u00e9rob\u00e9e con\u00e7ue pour donner aux attaquants un acc\u00e8s persistant aux syst\u00e8mes compromis et un t\u00e9l\u00e9chargeur pour d’autres logiciels malveillants, notamment Cobalt Strike et Sliver.<\/p>\n Les capacit\u00e9s du malware en ont \u00e9galement fait un outil de choix pour les acteurs de la menace, avec 413 incidents d’infection par Bumblebee signal\u00e9s en mai 2022, contre 41 en avril, selon Cyble.<\/p>\n “Bumblebee est un nouveau chargeur de logiciels malveillants hautement sophistiqu\u00e9 qui utilise de nombreuses man\u0153uvres d’\u00e9vitement et des astuces anti-analyse, y compris des techniques anti-virtualisation complexes”, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>. “Il est susceptible de devenir un outil populaire pour les groupes de ran\u00e7ongiciels pour livrer leur charge utile.”<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiq4fJtP7B7JFCVFm1i2HJNitv0I7q2ZPpo1ENRwjdGkXyHfFYgPi0bCHkdKPDoDtM_VSoDR3MwBf1n7upU0j-7MwhtRNgu_zWgreUa_K6_11h4Gr2G_9R6lNDiMkVzv6gv5PxrPN6jsJwQ1M4iyyW5gfXnuiV4bzpt8k2X6OYMP3xYzK6i4hZGe8fz\/s728-e100\/malware.jpg\")
<\/div>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhrMXPbhZZclc7wWPFEqqSPhwi6cuTyZBthRVjjvA-4NViSXl6RgvL7mBB13c2uc2H4l5I4v840HUK-yiLgS5Y800vJKc5lKHAyNJZiR-LbrTGbuVmN8dT25zI0B1rWoyw8J8mg4IzKzZ95_XZT1HIBRfDGUrySIA1ahcVB7bIixq4tBUr_zVysXRMA\/s728-e100\/hack.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n