Un malware-as-a-service (Maas) surnomm\u00e9 Matanbuchus<\/strong> a \u00e9t\u00e9 observ\u00e9 se propageant par le biais de campagnes de phishing, abandonnant finalement le framework de post-exploitation Cobalt Strike sur des machines compromises.<\/p>\n Matanbuchus, comme les autres chargeurs de logiciels malveillants<\/a> tels que BazarLoader, Bumblebee et Colibri, est con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter des ex\u00e9cutables de deuxi\u00e8me \u00e9tape \u00e0 partir de serveurs de commande et de contr\u00f4le (C&C) sur des syst\u00e8mes infect\u00e9s sans d\u00e9tection.<\/p>\n Disponible sur les forums de cybercriminalit\u00e9 russophones au prix de 2 500 $ depuis f\u00e9vrier 2021, le malware est \u00e9quip\u00e9 de capacit\u00e9s pour lancer des fichiers .EXE et .DLL en m\u00e9moire et ex\u00e9cuter des commandes PowerShell arbitraires.<\/p>\n Les conclusions, publi\u00e9es par la soci\u00e9t\u00e9 de renseignements sur les menaces Cyble la semaine derni\u00e8re, documentent la derni\u00e8re cha\u00eene d’infection associ\u00e9e au chargeur, qui est li\u00e9e \u00e0 un acteur mena\u00e7ant qui se fait appeler BelialDemon.<\/p>\n “Si nous regardons historiquement, BelialDemon a \u00e9t\u00e9 impliqu\u00e9 dans le d\u00e9veloppement de chargeurs de logiciels malveillants”, ont d\u00e9clar\u00e9 Jeff White et Kyle Wilhoit, chercheurs de l’Unit\u00e9 42. c’est not\u00e9<\/a> dans un rapport de juin 2021. “BelialDemon est consid\u00e9r\u00e9 comme le principal d\u00e9veloppeur de TriumphLoader<\/a>un chargeur d\u00e9j\u00e0 publi\u00e9 sur plusieurs forums, et qui a de l’exp\u00e9rience dans la vente de ce type de malware.”<\/p>\n Les e-mails de spam distribuant Matanbuchus sont accompagn\u00e9s d’une pi\u00e8ce jointe de fichier ZIP contenant un fichier HTML qui, \u00e0 l’ouverture, d\u00e9code le contenu Base64 int\u00e9gr\u00e9 dans le fichier et d\u00e9pose un autre fichier ZIP sur le syst\u00e8me.<\/p>\n Le fichier d’archive, \u00e0 son tour, comprend un fichier d’installation MSI qui affiche un faux message d’erreur lors de l’ex\u00e9cution tout en d\u00e9ployant furtivement un fichier DLL (“main.dll”) ainsi qu’en t\u00e9l\u00e9chargeant la m\u00eame biblioth\u00e8que \u00e0 partir d’un serveur distant (“telemetrysystemcollection[.]com”) comme option de secours.<\/p>\n “La fonction principale des fichiers DLL d\u00e9pos\u00e9s (“main.dll”) est d’agir comme un chargeur et de t\u00e9l\u00e9charger la DLL Matanbuchus r\u00e9elle \u00e0 partir du serveur C&C”, ont d\u00e9clar\u00e9 les chercheurs de Cyble. a dit<\/a>en plus d’\u00e9tablir la persistance au moyen d’un t\u00e2che planifi\u00e9e<\/a>.<\/p>\n Pour sa part, la charge utile Matanbuchus \u00e9tablit une connexion \u00e0 l’infrastructure C&C pour r\u00e9cup\u00e9rer les charges utiles de l’\u00e9tape suivante, dans ce cas, deux balises Cobalt Strike pour l’activit\u00e9 de suivi.<\/p>\n Le d\u00e9veloppement intervient alors que des chercheurs de Fortinet FortiGuard Labs ont d\u00e9voil\u00e9 une nouvelle variante d’un chargeur de logiciels malveillants appel\u00e9 IceXLoader, programm\u00e9 dans Nim et commercialis\u00e9 sur des forums clandestins.<\/p>\n Dot\u00e9es de capacit\u00e9s pour \u00e9chapper aux logiciels antivirus, les attaques de phishing impliquant IceXLoader ont ouvert la voie \u00e0 DarkCrystal RAT (alias DCRat) et aux mineurs de crypto-monnaie voyous sur des h\u00f4tes Windows pirat\u00e9s.<\/p>\n “Ce besoin d’\u00e9chapper aux produits de s\u00e9curit\u00e9 pourrait \u00eatre une raison pour laquelle les d\u00e9veloppeurs ont choisi de passer d’AutoIt \u00e0 Nim pour IceXLoader version 3”, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>. “\u00c9tant donn\u00e9 que Nim est un langage relativement rare pour l’\u00e9criture d’applications, les acteurs de la menace profitent du manque de concentration sur ce domaine en termes d’analyse et de d\u00e9tection.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n