Une campagne de phishing r\u00e9cemment observ\u00e9e exploite la vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 Follina r\u00e9cemment r\u00e9v\u00e9l\u00e9e pour distribuer une porte d\u00e9rob\u00e9e auparavant non document\u00e9e sur les syst\u00e8mes Windows.<\/p>\n
“Rozena est un logiciel malveillant de porte d\u00e9rob\u00e9e capable d’injecter une connexion shell distante sur la machine de l’attaquant”, a d\u00e9clar\u00e9 Cara Lin, chercheuse chez Fortinet FortiGuard Labs. a dit<\/a> dans un rapport cette semaine.<\/p>\n Suivie sous le nom de CVE-2022-30190, la vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance Microsoft Windows Support Diagnostic Tool (MSDT) d\u00e9sormais corrig\u00e9e a \u00e9t\u00e9 fortement exploit\u00e9e ces derni\u00e8res semaines depuis sa d\u00e9couverte fin mai 2022.<\/p>\n Le point de d\u00e9part de la derni\u00e8re cha\u00eene d’attaque observ\u00e9e par Fortinet est une arme Document de bureau<\/a> qui, une fois ouvert, se connecte \u00e0 une URL Discord CDN pour r\u00e9cup\u00e9rer un fichier HTML (“index.htm<\/a>“) qui, \u00e0 son tour, appelle l’utilitaire de diagnostic \u00e0 l’aide d’une commande PowerShell pour t\u00e9l\u00e9charger les charges utiles de l’\u00e9tape suivante \u00e0 partir du m\u00eame espace de pi\u00e8ce jointe CDN.<\/p>\n Cela inclut l’implant Rozena (“Word.exe”) et un fichier de commandes (“cd.bat”) con\u00e7u pour mettre fin aux processus MSDT, \u00e9tablir la persistance de la porte d\u00e9rob\u00e9e au moyen de la modification du registre Windows et t\u00e9l\u00e9charger un document Word inoffensif comme leurre .<\/p>\n La fonction principale du malware est d’injecter un shellcode qui lance un reverse shell sur l’h\u00f4te de l’attaquant (“microsofto.duckdns[.]org”), permettant finalement \u00e0 l’attaquant de prendre le contr\u00f4le du syst\u00e8me requis pour surveiller et capturer les informations, tout en maintenant une porte d\u00e9rob\u00e9e vers le syst\u00e8me compromis.<\/p>\n L’exploitation de la faille Follina pour distribuer des logiciels malveillants via des documents Word malveillants intervient sous la forme d’attaques d’ing\u00e9nierie sociale s’appuyer<\/a> sur Microsoft Excel, le raccourci Windows (LNK) et les fichiers image ISO en tant que compte-gouttes pour d\u00e9ployer des logiciels malveillants tels qu’Emotet, QBot, IcedID et Bumblebee sur l’appareil d’une victime.<\/p>\n On dit que les droppers sont distribu\u00e9s via des e-mails qui contiennent directement le dropper ou un ZIP prot\u00e9g\u00e9 par mot de passe en pi\u00e8ce jointe, un fichier HTML qui extrait le dropper lorsqu’il est ouvert, ou un lien pour t\u00e9l\u00e9charger le dropper dans le corps de l’email.<\/p>\n Alors que les attaques rep\u00e9r\u00e9es d\u00e9but avril mettaient en \u00e9vidence des fichiers Excel avec des macros XLM, la d\u00e9cision de Microsoft de bloquer les macros par d\u00e9faut \u00e0 peu pr\u00e8s au m\u00eame moment aurait forc\u00e9 les acteurs de la menace \u00e0 se tourner vers des m\u00e9thodes alternatives comme la contrebande HTML ainsi que les fichiers .LNK et .ISO. .<\/p>\n Le mois dernier, Cyble a divulgu\u00e9 les d\u00e9tails d’un outil malveillant appel\u00e9 Quantum qui est vendu sur des forums clandestins afin de doter les cybercriminels de capacit\u00e9s pour cr\u00e9er des fichiers .LNK et .ISO malveillants.<\/p>\n![\"Porte](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657364354_250_Les-pirates-exploitent-le-bogue-Follina-pour-deployer-Rozena-Backdoor.jpg\" "\\"Porte")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n![\"Porte](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657364355_941_Les-pirates-exploitent-le-bogue-Follina-pour-deployer-Rozena-Backdoor.jpg\" "\\"Porte")
<\/div>\n