L’unit\u00e9 42 de Palo Alto Networks a d\u00e9taill\u00e9 le fonctionnement interne d’un logiciel malveillant appel\u00e9 Enregistreur d’origine<\/strong>qui a \u00e9t\u00e9 pr\u00e9sent\u00e9 comme le successeur du voleur d’informations largement utilis\u00e9 et du cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) connu sous le nom de AgentTesla<\/a>.<\/p>\n Enregistreur de frappe bas\u00e9 sur .NET et acc\u00e8s \u00e0 distance, l’agent Tesla est pr\u00e9sent depuis longtemps dans le paysage des menaces, permettant aux acteurs malveillants d’acc\u00e9der \u00e0 distance aux syst\u00e8mes cibl\u00e9s et aux informations sensibles des balises dans un domaine contr\u00f4l\u00e9 par les acteurs.<\/p>\n Connu pour \u00eatre utilis\u00e9 dans la nature depuis 2014, il est annonc\u00e9 \u00e0 la vente sur les forums du dark web et est g\u00e9n\u00e9ralement distribu\u00e9 via des spams malveillants en pi\u00e8ce jointe.<\/p>\n En f\u00e9vrier 2021, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sophos a d\u00e9voil\u00e9 deux nouvelles variantes du logiciel malveillant de base (versions 2 et 3) qui pr\u00e9sentaient des capacit\u00e9s pour voler les informations d’identification des navigateurs Web, des applications de messagerie et des clients VPN, ainsi que l’utilisation de l’API Telegram pour la commande et le contr\u00f4le. .<\/p>\n Maintenant, selon le chercheur de l’unit\u00e9 42, Jeff White, ce qui a \u00e9t\u00e9 \u00e9tiquet\u00e9 comme AgentTesla version 3 est en fait Enregistreur d’origine<\/a>qui aurait vu le jour pour combler le vide laiss\u00e9 par le premier apr\u00e8s la fermeture de ses op\u00e9rateurs le 4 mars 2019, \u00e0 la suite de probl\u00e8mes judiciaires.<\/p>\n Le point de d\u00e9part de l’enqu\u00eate de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 \u00e9tait un Vid\u00e9o Youtube<\/a> qui a \u00e9t\u00e9 publi\u00e9 en novembre 2018 d\u00e9taillant ses fonctionnalit\u00e9s, conduisant \u00e0 la d\u00e9couverte d’un \u00e9chantillon de logiciel malveillant (“OriginLogger.exe<\/a>“) qui a \u00e9t\u00e9 charg\u00e9 dans la base de donn\u00e9es de logiciels malveillants VirusTotal le 17\u00a0mai\u00a02022.<\/p>\n L’ex\u00e9cutable est un binaire de construction qui permet \u00e0 un client achet\u00e9 de sp\u00e9cifier les types de donn\u00e9es \u00e0 capturer, y compris le presse-papiers, les captures d’\u00e9cran et la liste des applications et des services (par exemple, les navigateurs, les clients de messagerie, etc.) \u00e0 partir desquels les informations d’identification doivent \u00eatre extrait.<\/p>\n L’authentification de l’utilisateur est r\u00e9alis\u00e9e en envoyant une demande \u00e0 un serveur OriginLogger, qui r\u00e9sout les noms de domaine 0xfd3[.]com et son nouvel homologue originpro[.]moi bas\u00e9 sur deux artefacts de constructeur compil\u00e9s le 6 septembre 2020 et le 29 juin 2022.<\/p>\n L’unit\u00e9 42 a d\u00e9clar\u00e9 qu’elle \u00e9tait capable d’identifier un profil GitHub avec le nom d’utilisateur 0xfd3 qui h\u00e9bergeait deux r\u00e9f\u00e9rentiels de code source pour voler les mots de passe de Google Chrome et Microsoft Outlook, tous deux utilis\u00e9s dans OrionLogger.<\/p>\n OrionLogger, comme l’Agent Tesla, est livr\u00e9 via un document Microsoft Word leurre<\/a> qui, lorsqu’il est ouvert, est con\u00e7u pour afficher une image d’un passeport pour un citoyen allemand et une carte de cr\u00e9dit, ainsi qu’un certain nombre de feuilles de calcul Excel int\u00e9gr\u00e9es.<\/p>\n Les feuilles de calcul, \u00e0 leur tour, contiennent une macro VBA qui utilise MSHTA<\/a> pour invoquer une page HTML h\u00e9berg\u00e9e sur un serveur distant, qui, pour sa part, inclut un code JavaScript obfusqu\u00e9 pour r\u00e9cup\u00e9rer deux binaires encod\u00e9s h\u00e9berg\u00e9s sur Bitbucket.<\/p>\n Le premier des deux logiciels malveillants est un chargeur qui utilise la technique de processus d’\u00e9videment<\/a> pour injecter le deuxi\u00e8me ex\u00e9cutable, la charge utile OrionLogger, dans le processus aspnet_compiler.exe<\/a>un utilitaire l\u00e9gitime pour pr\u00e9compiler les applications ASP.NET.<\/p>\n “Le logiciel malveillant utilise des m\u00e9thodes \u00e9prouv\u00e9es et inclut la possibilit\u00e9 de saisir des cl\u00e9s, de voler des informations d’identification, de prendre des captures d’\u00e9cran, de t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires, de t\u00e9l\u00e9charger vos donn\u00e9es de multiples fa\u00e7ons et d’essayer d’\u00e9viter la d\u00e9tection”, a d\u00e9clar\u00e9 White.<\/p>\n De plus, une analyse d’un corpus de plus de 1 900 \u00e9chantillons montre que les m\u00e9canismes d’exfiltration les plus courants pour renvoyer les donn\u00e9es \u00e0 l’attaquant sont via SMTP, FTP, les t\u00e9l\u00e9chargements Web vers le panneau OrionLogger et Telegram avec l’aide de 181 robots uniques.<\/p>\n “Les enregistreurs de frappe commerciaux ont historiquement r\u00e9pondu aux attaquants moins avanc\u00e9s, mais comme illustr\u00e9 dans le document de leurre initial analys\u00e9 ici, cela ne rend pas les attaquants moins capables d’utiliser plusieurs outils et services pour obscurcir et rendre l’analyse plus compliqu\u00e9e”, a ajout\u00e9 White.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"OriginLogger](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663145942_892_Les-chercheurs-detaillent-OriginLogger-RAT-Successeur-de-lagent-Tesla.jpg\" "\\"OriginLogger")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n