{"id":349540,"date":"2022-09-05T11:02:32","date_gmt":"2022-09-05T13:02:32","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-attaquants-de-ransomware-abusent-du-systeme-anti-triche-genshin-impact-pour-desactiver-lantivirus\/"},"modified":"2022-09-05T11:02:33","modified_gmt":"2022-09-05T13:02:33","slug":"les-attaquants-de-ransomware-abusent-du-systeme-anti-triche-genshin-impact-pour-desactiver-lantivirus","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-attaquants-de-ransomware-abusent-du-systeme-anti-triche-genshin-impact-pour-desactiver-lantivirus\/","title":{"rendered":"Les attaquants de ransomware abusent du syst\u00e8me anti-triche Genshin Impact pour d\u00e9sactiver l’antivirus"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Un pilote anti-triche vuln\u00e9rable pour le jeu vid\u00e9o Genshin Impact a \u00e9t\u00e9 exploit\u00e9 par un acteur du cybercrime pour d\u00e9sactiver les programmes antivirus afin de faciliter le d\u00e9ploiement de ransomwares, selon les conclusions de Trend Micro.<\/p>\n

L’infection par le ran\u00e7ongiciel, qui s’est d\u00e9clench\u00e9e la derni\u00e8re semaine de juillet 2022, a mis\u00e9 sur le fait que le pilote en question (“mhyprot2.sys”) est sign\u00e9 avec un certificat valide, permettant ainsi de contourner les privil\u00e8ges et de mettre fin aux services associ\u00e9s \u00e0 applications de protection des terminaux.<\/p>\n

Genshin Impact est un jeu de r\u00f4le d’action populaire qui a \u00e9t\u00e9 d\u00e9velopp\u00e9 et publi\u00e9 par le d\u00e9veloppeur miHoYo bas\u00e9 \u00e0 Shanghai en septembre 2020.<\/p>\n

\"La<\/a><\/div>\n

Le pilote utilis\u00e9 dans la cha\u00eene d’attaque aurait \u00e9t\u00e9 construit en ao\u00fbt 2020, avec l’existence de la faille dans le module discut\u00e9<\/a> apr\u00e8s la sortie du jeu, et menant \u00e0 exploits<\/a> d\u00e9montrer<\/a> la possibilit\u00e9 de tuer n’importe quel processus arbitraire et de passer en mode noyau.<\/p>\n

L’id\u00e9e, en un mot, est d’utiliser le module de pilote de p\u00e9riph\u00e9rique l\u00e9gitime avec une signature de code valide pour \u00e9lever les privil\u00e8ges du mode utilisateur au mode noyau, r\u00e9affirmant \u00e0 quel point les adversaires recherchent constamment diff\u00e9rentes fa\u00e7ons de d\u00e9ployer furtivement des logiciels malveillants.<\/p>\n

“L’acteur de la menace visait \u00e0 d\u00e9ployer un ran\u00e7ongiciel dans l’appareil de la victime, puis \u00e0 propager l’infection”, ont d\u00e9clar\u00e9 Ryan Soliven et Hitomi Kimura, analystes de la r\u00e9ponse aux incidents. a dit<\/a>.<\/p>\n

“Les organisations et les \u00e9quipes de s\u00e9curit\u00e9 doivent \u00eatre prudentes en raison de plusieurs facteurs\u00a0: la facilit\u00e9 d’obtention du module mhyprot2.sys, la polyvalence du pilote en termes de contournement des privil\u00e8ges et l’existence de preuves de concept (PoC) bien faites.”<\/p>\n

\"\"<\/div>\n

Dans l’incident analys\u00e9 par Trend Micro, un terminal compromis appartenant \u00e0 une entit\u00e9 anonyme a \u00e9t\u00e9 utilis\u00e9 comme conduit pour se connecter au contr\u00f4leur de domaine via le protocole de bureau \u00e0 distance (RDP) et lui transf\u00e9rer un programme d’installation Windows se faisant passer pour AVG Internet Security, qui a abandonn\u00e9 et ex\u00e9cut\u00e9, entre autres fichiers, le pilote vuln\u00e9rable.<\/p>\n

\"La<\/a><\/div>\n

L’objectif, selon les chercheurs, \u00e9tait de d\u00e9ployer en masse le ransomware pour utiliser le contr\u00f4leur de domaine via un fichier de commandes qui installe le pilote, tue les services antivirus et lance la charge utile du ransomware.<\/p>\n

Trend Micro a soulign\u00e9 que le jeu “n’a pas besoin d’\u00eatre install\u00e9 sur l’appareil de la victime pour que cela fonctionne”, ce qui signifie que les pirates peuvent simplement installer le pilote anti-triche comme pr\u00e9curseur du d\u00e9ploiement du ransomware.<\/p>\n

Nous avons contact\u00e9 miHoYo pour un commentaire, et nous mettrons \u00e0 jour l’histoire si nous vous r\u00e9pondons.<\/p>\n

“Il est encore rare de trouver un module avec signature de code en tant que pilote de p\u00e9riph\u00e9rique qui puisse \u00eatre abus\u00e9”, ont d\u00e9clar\u00e9 les chercheurs. “Ce module est tr\u00e8s facile \u00e0 obtenir et sera accessible \u00e0 tous jusqu’\u00e0 ce qu’il soit effac\u00e9 de l’existence. Il pourrait rester longtemps comme un utilitaire utile pour contourner les privil\u00e8ges.”<\/p>\n

“La r\u00e9vocation des certificats et la d\u00e9tection antivirus peuvent aider \u00e0 d\u00e9courager les abus, mais il n’y a pas de solutions pour le moment car il s’agit d’un module l\u00e9gitime.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Un pilote anti-triche vuln\u00e9rable pour le jeu vid\u00e9o Genshin Impact a \u00e9t\u00e9 exploit\u00e9 par un acteur du cybercrime pour d\u00e9sactiver les programmes antivirus afin de faciliter le d\u00e9ploiement de ransomwares, selon les conclusions de Trend Micro. L’infection par le ran\u00e7ongiciel, qui s’est d\u00e9clench\u00e9e la derni\u00e8re semaine de juillet 2022, a mis\u00e9 sur le fait que […]<\/p>\n","protected":false},"author":1,"featured_media":349541,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[22357,106332,11865,4168,4158,4165,4161,24853,106333,7500,4157,4159,4171,4170,28057,65,4167,4160,4163,4162,185,4392,4172,4169,2622,4166,4164],"class_list":["post-349540","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-abusent","tag-antitriche","tag-attaquants","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-desactiver","tag-genshin","tag-impact","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-lantivirus","tag-les","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-pour","tag-ransomware","tag-securite-informatique","tag-securite-internet","tag-systeme","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/349540","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=349540"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/349540\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/349541"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=349540"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=349540"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=349540"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}