Une campagne persistante de logiciels malveillants bas\u00e9e sur Golang baptis\u00e9e GO#WEBBFUSCATOR a exploit\u00e9 l’image en champ profond prise par le t\u00e9lescope spatial James Webb (JWST) de la NASA comme leurre pour d\u00e9ployer des charges utiles malveillantes sur les syst\u00e8mes infect\u00e9s.<\/p>\n
Le d\u00e9veloppement, r\u00e9v\u00e9l\u00e9 par S\u00e9curonix<\/b>souligne l’adoption croissante de Go parmi les acteurs de la menace, compte tenu de la prise en charge multiplateforme du langage de programmation, permettant effectivement aux op\u00e9rateurs de tirer parti d’une base de code commune pour cibler diff\u00e9rents syst\u00e8mes d’exploitation.<\/p>\n
Les binaires Go ont \u00e9galement l’avantage suppl\u00e9mentaire de rendre l’analyse et l’ing\u00e9nierie inverse difficiles par opposition aux logiciels malveillants \u00e9crits dans d’autres langages comme C++ ou C#, sans parler de prolonger les tentatives d’analyse et de d\u00e9tection.<\/p>\n
Les e-mails de phishing contenant une pi\u00e8ce jointe Microsoft Office agissent comme point d’entr\u00e9e de la cha\u00eene d’attaque qui, lorsqu’elle est ouverte, r\u00e9cup\u00e8re une macro VBA masqu\u00e9e, qui, \u00e0 son tour, est automatiquement ex\u00e9cut\u00e9e si le destinataire active les macros.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\nL’ex\u00e9cution de la macro entra\u00eene le t\u00e9l\u00e9chargement d’un fichier image “OxB36F8GEEC634.jpg” qui semble \u00eatre une image du Premier champ profond<\/a> captur\u00e9 par JWST mais, lorsqu’il est inspect\u00e9 \u00e0 l’aide d’un \u00e9diteur de texte, il s’agit en fait d’une charge utile encod\u00e9e en Base64.<\/p>\n \u00ab Le d\u00e9masqu\u00e9 [macro] le code s’ex\u00e9cute [a command] qui t\u00e9l\u00e9chargera un fichier nomm\u00e9 OxB36F8GEEC634.jpg, utilisez certutil.exe<\/a> pour le d\u00e9coder en un binaire (msdllupdate.exe) et enfin, l’ex\u00e9cuter \u00bb, les chercheurs de Securonix D. Iuzvyk, T. Peck et O. Kolesnikov a dit<\/a>.<\/p>\n Le binaire, un ex\u00e9cutable Windows 64 bits d’une taille de 1,7 Mo, est non seulement \u00e9quip\u00e9 pour voler sous le radar des moteurs antimalware, mais est \u00e9galement obscurci au moyen d’une technique appel\u00e9e gobfuscation, qui utilise un Outil d’obscurcissement Golang<\/a> disponible publiquement sur GitHub.<\/p>\n La biblioth\u00e8que gobfuscate a d\u00e9j\u00e0 \u00e9t\u00e9 document\u00e9e comme utilis\u00e9e par les acteurs derri\u00e8re Cha Chi<\/a>un cheval de Troie d’acc\u00e8s \u00e0 distance utilis\u00e9 par les op\u00e9rateurs du ran\u00e7ongiciel PYSA (alias Mespinoza) dans le cadre de leur ensemble d’outils, et du cadre de commande et de contr\u00f4le (C2) Sliver.<\/p>\n La communication avec le serveur C2 est facilit\u00e9e par des requ\u00eates et des r\u00e9ponses DNS crypt\u00e9es, permettant au logiciel malveillant d’ex\u00e9cuter des commandes envoy\u00e9es par le serveur via l’invite de commande Windows (cmd.exe). Les domaines C2 pour la campagne auraient \u00e9t\u00e9 enregistr\u00e9s fin mai 2022.<\/p>\n La d\u00e9cision de Microsoft de bloquer les macros par d\u00e9faut dans les applications Office a conduit de nombreux adversaires \u00e0 modifier leurs campagnes en passant \u00e0 fichiers LNK et ISO voyous<\/a> pour d\u00e9ployer des logiciels malveillants. Il reste \u00e0 voir si les acteurs de GO#WEBBFUSCATOR adopteront une m\u00e9thode d’attaque similaire.<\/p>\n “L’utilisation d’une image l\u00e9gitime pour construire un binaire Golang avec Certutil n’est pas tr\u00e8s courante”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant, “il est clair que l’auteur original du binaire a con\u00e7u la charge utile avec \u00e0 la fois des m\u00e9thodologies triviales de contre-investigation et de d\u00e9tection anti-EDR. \u00e0 l’esprit.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n