Selon une nouvelle \u00e9tude de VMware, les acteurs de la menace associ\u00e9s au c\u00e9l\u00e8bre malware Emotet modifient continuellement leurs tactiques et leur infrastructure de commande et de contr\u00f4le (C2) pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n
\u00e9motic\u00f4ne<\/a> est l’\u0153uvre d’un acteur mena\u00e7ant suivi sous le nom de Mummy Spider (alias TA542), \u00e9mergeant en juin 2014 comme un cheval de Troie bancaire avant de se transformer en un chargeur polyvalent en 2016 capable de fournir des charges utiles de deuxi\u00e8me \u00e9tape telles que des ransomwares.<\/p>\n Alors que l’infrastructure du botnet a \u00e9t\u00e9 supprim\u00e9e dans le cadre d’une op\u00e9ration coordonn\u00e9e d’application de la loi en janvier 2021, Emotet a rebondi en novembre 2021 gr\u00e2ce \u00e0 un autre malware connu sous le nom de TrickBot.<\/p>\n La r\u00e9surrection d’Emotet, orchestr\u00e9e par l’\u00e9quipe Conti aujourd’hui disparue, a depuis ouvert la voie aux infections de Cobalt Strike et, plus r\u00e9cemment, aux attaques de ran\u00e7ongiciels impliquant Quantum et BlackCat.<\/p>\n “L’adaptation continue de la cha\u00eene d’ex\u00e9cution d’Emotet est l’une des raisons pour lesquelles le malware a r\u00e9ussi pendant si longtemps”, ont d\u00e9clar\u00e9 des chercheurs de l’unit\u00e9 d’analyse des menaces (TAU) de VMware dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Les flux d’attaques Emotet se caract\u00e9risent \u00e9galement par l’utilisation de diff\u00e9rents vecteurs d’attaque dans le but de rester cach\u00e9s pendant de longues p\u00e9riodes.<\/p>\n Ces intrusions reposent g\u00e9n\u00e9ralement sur des vagues de messages de spam qui fournissent des documents contenant des logiciels malveillants ou des URL int\u00e9gr\u00e9es, qui, lorsqu’ils sont ouverts ou cliqu\u00e9s, conduisent au d\u00e9ploiement du logiciel malveillant.<\/p>\n Rien qu’en janvier 2022, VMware a d\u00e9clar\u00e9 avoir observ\u00e9 trois s\u00e9ries d’attaques diff\u00e9rentes dans lesquelles la charge utile Emotet \u00e9tait livr\u00e9e via une macro Excel 4.0 (XL4), une macro XL4 avec PowerShell et une macro Visual Basic Application (VBA) avec PowerShell.<\/p>\n Certains de ces cycles de vie d’infection se sont \u00e9galement distingu\u00e9s par l’abus d’un ex\u00e9cutable l\u00e9gitime appel\u00e9 mshta.exe<\/a> pour lancer un fichier HTA malveillant, puis d\u00e9posez le malware Emotet.<\/p>\n “Des outils tels que mshta et PowerShell, qui sont parfois appel\u00e9s binaires vivant hors de la terre (LOLBIN), sont tr\u00e8s populaires parmi les acteurs de la menace car ils sont sign\u00e9s par Microsoft et approuv\u00e9s par Windows”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Cela permet \u00e0 l’attaquant d’effectuer une attaque adjointe confuse, dans laquelle des outils l\u00e9gitimes sont tromp\u00e9s pour ex\u00e9cuter des actions malveillantes.”<\/p>\n Une analyse plus approfondie de pr\u00e8s de 25 000 artefacts DLL Emotet uniques montre que 26,7 % d’entre eux ont \u00e9t\u00e9 supprim\u00e9s par des documents Excel. Pas moins de 139 cha\u00eenes de programmes distinctes ont \u00e9t\u00e9 identifi\u00e9es.<\/p>\n La r\u00e9\u00e9mergence d’Emotet a \u00e9galement \u00e9t\u00e9 marqu\u00e9e par un changement dans l’infrastructure C2, l’acteur mena\u00e7ant exploitant deux nouveaux clusters de botnets baptis\u00e9s \u00c9poques 4 et 5<\/a>. Avant le retrait, l’op\u00e9ration Emotet fonctionnait sur trois botnets distincts appel\u00e9s \u00c9poques 1, 2 et 3<\/a>.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1665426870_646_Un-nouveau-rapport-revele-les-techniques-de-livraison-et-devasion.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1665426870_506_Un-nouveau-rapport-revele-les-techniques-de-livraison-et-devasion.jpg\")
<\/div>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1665426870_615_Un-nouveau-rapport-revele-les-techniques-de-livraison-et-devasion.jpg\")
<\/div>\n