Un groupe d’activit\u00e9s de menace en d\u00e9veloppement a \u00e9t\u00e9 d\u00e9couvert en utilisant Google Ads dans l’une de ses campagnes pour distribuer diverses charges utiles post-compromis, y compris le r\u00e9cemment d\u00e9couvert Logiciel de ran\u00e7on royal<\/a>.<\/p>\n Microsoft, qui a rep\u00e9r\u00e9 la m\u00e9thode de diffusion des logiciels malveillants mise \u00e0 jour fin octobre 2022, suit le groupe sous le nom DEV-0569<\/strong>.<\/p>\n “Les attaques DEV-0569 observ\u00e9es montrent un mod\u00e8le d’innovation continue, avec l’incorporation r\u00e9guli\u00e8re de nouvelles techniques de d\u00e9couverte, l’\u00e9vasion de la d\u00e9fense et diverses charges utiles post-compromis, ainsi que la facilitation croissante des ransomwares”, a d\u00e9clar\u00e9 l’\u00e9quipe Microsoft Security Threat Intelligence. a dit<\/a> dans une analyse.<\/p>\n L’acteur de la menace est connu pour s’appuyer sur la publicit\u00e9 malveillante pour diriger les victimes sans m\u00e9fiance vers des liens de t\u00e9l\u00e9chargement de logiciels malveillants qui se pr\u00e9sentent comme des installateurs de logiciels pour des applications l\u00e9gitimes comme Adobe Flash Player, AnyDesk, LogMeIn, Microsoft Teams et Zoom.<\/p>\n Le t\u00e9l\u00e9chargeur de logiciels malveillants, une souche appel\u00e9e BATLOADER, est un compte-gouttes qui fonctionne comme un conduit pour distribuer les charges utiles de la prochaine \u00e9tape. Il a \u00e9t\u00e9 observ\u00e9 qu’il partageait des chevauchements avec un autre logiciel malveillant appel\u00e9 ZLoader.<\/p>\n Une analyse r\u00e9cente de BATLOADER par eSenti<\/a> et VMware<\/a> a soulign\u00e9 la furtivit\u00e9 et la persistance du malware, en plus de son utilisation de l’empoisonnement de l’optimisation des moteurs de recherche (SEO) pour inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger le malware \u00e0 partir de sites Web compromis ou de domaines cr\u00e9\u00e9s par des attaquants.<\/p>\n Alternativement, les liens de phishing sont partag\u00e9s via des spams, de fausses pages de forum, des commentaires de blog et m\u00eame des formulaires de contact pr\u00e9sents sur les sites Web des organisations cibl\u00e9es.<\/p>\n “DEV-0569 a utilis\u00e9 diverses cha\u00eenes d’infection utilisant PowerShell et des scripts batch qui ont finalement conduit au t\u00e9l\u00e9chargement de charges utiles de logiciels malveillants comme des voleurs d’informations ou un outil de gestion \u00e0 distance l\u00e9gitime utilis\u00e9 pour la persistance sur le r\u00e9seau”, a not\u00e9 le g\u00e9ant de la technologie.<\/p>\n “L’outil de gestion peut \u00e9galement \u00eatre un point d’acc\u00e8s pour la mise en sc\u00e8ne et la diffusion de ransomwares.”<\/p>\n Un outil connu sous le nom de NSudo est \u00e9galement utilis\u00e9 pour lancer des programmes avec des privil\u00e8ges \u00e9lev\u00e9s et alt\u00e9rer les d\u00e9fenses en ajoutant des valeurs de registre con\u00e7ues pour d\u00e9sactiver les solutions antivirus.<\/p>\n L’utilisation de Google Ads pour fournir BATLOADER de mani\u00e8re s\u00e9lective marque une diversification des vecteurs de distribution du DEV-0569, lui permettant d’atteindre plus de cibles et de fournir des charges utiles de logiciels malveillants, a soulign\u00e9 la soci\u00e9t\u00e9.<\/p>\n Cela positionne en outre le groupe pour servir de courtier d’acc\u00e8s initial pour d’autres op\u00e9rations de ransomware, rejoignant des logiciels malveillants tels qu’Emotet, IcedID, Qakbot.<\/p>\n “\u00c9tant donn\u00e9 que le sch\u00e9ma de phishing de DEV-0569 abuse des services l\u00e9gitimes, les organisations peuvent \u00e9galement tirer parti des r\u00e8gles de flux de messagerie pour capturer des mots cl\u00e9s suspects ou examiner de larges exceptions, telles que celles li\u00e9es aux plages d’adresses IP et aux listes d’autorisation au niveau du domaine”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n <\/p>\n<\/div>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668844889_703_Microsoft-met-en-garde-contre-les-pirates-utilisant-Google-Ads.png\" "\\"Logiciel")
<\/div>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668844889_128_Microsoft-met-en-garde-contre-les-pirates-utilisant-Google-Ads.png\" "\\"Logiciel")
<\/div>\n