Les acteurs de la menace derri\u00e8re le Black Basta famille de ran\u00e7ongiciels<\/a> ont \u00e9t\u00e9 observ\u00e9s en train d’utiliser le cheval de Troie Qakbot pour d\u00e9ployer le framework Brute Ratel C4 en tant que charge utile de deuxi\u00e8me \u00e9tape lors d’attaques r\u00e9centes.<\/p>\n Le d\u00e9veloppement marque la premi\u00e8re fois que le logiciel de simulation d’adversaire naissant est livr\u00e9 via une infection Qakbot, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro a dit<\/a> dans une analyse technique publi\u00e9e la semaine derni\u00e8re.<\/p>\n L’intrusion, r\u00e9alis\u00e9e \u00e0 l’aide d’un e-mail de phishing contenant un lien arm\u00e9 pointant vers une archive ZIP, impliquait en outre l’utilisation de Cobalt Strike pour les mouvements lat\u00e9raux.<\/p>\n Bien que ces utilitaires l\u00e9gitimes soient con\u00e7us pour mener des activit\u00e9s de test d’intrusion, leur capacit\u00e9 \u00e0 offrir un acc\u00e8s \u00e0 distance en a fait un outil lucratif entre les mains des attaquants cherchant \u00e0 sonder furtivement l’environnement compromis sans attirer l’attention pendant de longues p\u00e9riodes.<\/p>\n Cela a \u00e9t\u00e9 aggrav\u00e9 par le fait qu’un version fissur\u00e9e<\/a> de Brute Ratel C4 a commenc\u00e9 \u00e0 circuler le mois dernier dans l’underground cybercriminel, incitant son d\u00e9veloppeur \u00e0 mettre \u00e0 jour l’algorithme de licence<\/a> pour le rendre plus difficile \u00e0 craquer.<\/p>\n Qakbot, \u00e9galement appel\u00e9 QBot et QuackBot, est un voleur d’informations et un cheval de Troie bancaire qui est connu pour \u00eatre actif depuis 2007. Mais sa conception modulaire et sa capacit\u00e9 \u00e0 agir en tant que t\u00e9l\u00e9chargeur en ont fait un candidat attrayant pour la suppression de logiciels malveillants suppl\u00e9mentaires.<\/p>\n Selon Trend Micro, le fichier ZIP dans l’e-mail contient un fichier ISO, qui, \u00e0 son tour, comprend un fichier LNK qui r\u00e9cup\u00e8re la charge utile Qakbot, illustrant les tentatives d’une partie des acteurs de la menace pour s’adapter \u00e0 d’autres tactiques<\/a> suite \u00e0 la d\u00e9cision de Microsoft de bloquer par d\u00e9faut les macros pour les documents t\u00e9l\u00e9charg\u00e9s sur le Web.<\/p>\n L’infection Qakbot est suivie par la r\u00e9cup\u00e9ration de Brute Ratel et Cobalt Strike, mais pas avant d’effectuer une reconnaissance automatis\u00e9e via des outils de ligne de commande int\u00e9gr\u00e9s tels que arp, ipconfig, nslookup, netstat et whoami.<\/p>\n L’attaque, cependant, a \u00e9t\u00e9 arr\u00eat\u00e9e avant qu’une action malveillante ne puisse \u00eatre entreprise par l’auteur de la menace, bien que l’on soup\u00e7onne que l’objectif final ait pu \u00eatre le d\u00e9ploiement d’un ransomware \u00e0 l’\u00e9chelle du domaine.<\/p>\n Dans une autre cha\u00eene d’ex\u00e9cution Qakbot rep\u00e9r\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, le fichier ZIP est livr\u00e9 via une m\u00e9thode de plus en plus populaire appel\u00e9e contrebande HTML, entra\u00eenant l’ex\u00e9cution de Brute Ratel C4 en deuxi\u00e8me \u00e9tape.<\/p>\n “La cha\u00eene de destruction Qakbot-to-Brute Ratel-to-Cobalt Strike est associ\u00e9e au groupe derri\u00e8re le Black Basta Ransomware”, ont d\u00e9clar\u00e9 les chercheurs. “Ceci est bas\u00e9 sur le chevauchement des TTP et de l’infrastructure observ\u00e9s dans les attaques de Black Basta.”<\/p>\n Les r\u00e9sultats co\u00efncident avec une r\u00e9surgence des attaques Qakbot ces derniers mois au moyen d’une vari\u00e9t\u00e9 de techniques telles que Fichiers joints HTML<\/a>, Chargement lat\u00e9ral de DLL<\/a>et piratage de fils de messagerie<\/a>dont le dernier impliquait de r\u00e9colter des e-mails en masse \u00e0 partir d’attaques ProxyLogon r\u00e9ussies visant les serveurs Microsoft Exchange.<\/p>\n Qakbot est loin d’\u00eatre le seul logiciel malveillant d’acc\u00e8s en tant que service qui est de plus en plus distribu\u00e9 via ISO et d’autres formats de fichiers pour contourner les restrictions de macros, car les campagnes Emotet, IcedID et Bumblebee ont toutes suivi des trajectoires similaires.<\/p>\n Palo Alto Networks Unit 42, fin septembre 2022, a dit<\/a> il a d\u00e9couvert un fichier Microsoft Compiled HTML Help (CHM) polyglotte malveillant utilis\u00e9 pour diffuser le malware IcedID (alias BokBot).<\/p>\n D’autres m\u00e9thodes de livraison et voies d’infection importantes ont impliqu\u00e9 l’utilisation de fichiers ZIP prot\u00e9g\u00e9s par mot de passe contenant un fichier ISO, refl\u00e9tant celui de Qakbot, avec la charge utile propag\u00e9e via un service de paiement par installateur connu sous le nom de PrivateLoader, selon \u00c9quipe Cymru<\/a>.<\/p>\n Et, pour couronner le tout, \u00e9motic\u00f4ne<\/a> semble se pr\u00e9parer \u00e0 une nouvelle s\u00e9rie d’attaques apr\u00e8s une courte interruption de trois mois pour retravailler son module “systeminfo” afin “d’am\u00e9liorer le ciblage de victimes sp\u00e9cifiques et de distinguer les robots de suivi des utilisateurs r\u00e9els”, ESET divulgu\u00e9<\/a> dans une s\u00e9rie de tweets.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666016797_98_Black-Basta-Ransomware-Hackers-infiltre-les-reseaux-via-Qakbot-pour.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666016797_893_Black-Basta-Ransomware-Hackers-infiltre-les-reseaux-via-Qakbot-pour.jpg\")
<\/div>\nLes acteurs d’IcedID diversifient les m\u00e9thodes de livraison<\/h3>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/Nouvelle-version-PHP-du-logiciel-malveillant-Ducktail-piratant-les-comptes.png\")
<\/a><\/div>\n