Les chercheurs en cybers\u00e9curit\u00e9 ont expos\u00e9 une grande vari\u00e9t\u00e9 de techniques adopt\u00e9es par un t\u00e9l\u00e9chargeur de logiciels malveillants avanc\u00e9 appel\u00e9 GuLoaderComment<\/strong> pour \u00e9chapper aux logiciels de s\u00e9curit\u00e9.<\/p>\n “La nouvelle technique d’anti-analyse de shellcode tente de contrecarrer les chercheurs et les environnements hostiles en analysant l’int\u00e9gralit\u00e9 de la m\u00e9moire de processus \u00e0 la recherche de cha\u00eenes li\u00e9es \u00e0 une machine virtuelle (VM)”, ont d\u00e9clar\u00e9 Sarang Sonawane et Donato Onofri, chercheurs de CrowdStrike. m’a dit<\/a> dans un article technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n GuLoader, \u00e9galement appel\u00e9 CloudEyE<\/a>, est un t\u00e9l\u00e9chargeur Visual Basic Script (VBS) utilis\u00e9 pour distribuer des chevaux de Troie d’acc\u00e8s \u00e0 distance sur des machines infect\u00e9es. Il a \u00e9t\u00e9 d\u00e9tect\u00e9 pour la premi\u00e8re fois dans la nature en 2019.<\/p>\n En novembre 2021, une souche de malware JavaScript baptis\u00e9e RATDispenser est apparue comme un moyen de supprimer GuLoader au moyen d’un compte-gouttes VBScript cod\u00e9 en Base64.<\/p>\n Un r\u00e9cent \u00e9chantillon de GuLoader d\u00e9couvert par CrowdStrike pr\u00e9sente un processus en trois \u00e9tapes dans lequel le VBScript est con\u00e7u pour fournir une \u00e9tape suivante qui effectue des v\u00e9rifications anti-analyse avant d’injecter le shellcode int\u00e9gr\u00e9 dans le VBScript dans la m\u00e9moire.<\/p>\n Le shellcode, en plus d’incorporer les m\u00eames m\u00e9thodes d’anti-analyse, t\u00e9l\u00e9charge une charge utile finale du choix de l’attaquant \u00e0 partir d’un serveur distant et l’ex\u00e9cute sur l’h\u00f4te compromis.<\/p>\n “Le shellcode utilise plusieurs astuces anti-analyse et anti-d\u00e9bogage \u00e0 chaque \u00e9tape de l’ex\u00e9cution, lan\u00e7ant un message d’erreur si le shellcode d\u00e9tecte une analyse connue des m\u00e9canismes de d\u00e9bogage”, ont soulign\u00e9 les chercheurs.<\/p>\n Cela inclut des contr\u00f4les anti-d\u00e9bogage et anti-d\u00e9sassemblage pour d\u00e9tecter la pr\u00e9sence d’un d\u00e9bogueur distant et de points d’arr\u00eat, et s’ils sont trouv\u00e9s, terminer le shellcode. Le shellcode propose \u00e9galement des scans pour les logiciels de virtualisation.<\/p>\n Une capacit\u00e9 suppl\u00e9mentaire est ce que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 appelle un “m\u00e9canisme d’injection de code redondant” pour \u00e9viter NTDLL.dll<\/a> crochets mis en \u0153uvre par les solutions de d\u00e9tection et de r\u00e9ponse aux points finaux (EDR).<\/p>\n API NTDLL.dll crochet<\/a> est un technique<\/a> utilis\u00e9<\/a> par des moteurs anti-malware pour d\u00e9tecter et signaler les processus suspects sur Windows en surveillant les API dont on sait qu’elles sont utilis\u00e9es de mani\u00e8re abusive par les pirates.<\/p>\n En un mot, la m\u00e9thode consiste \u00e0 utiliser des instructions d’assemblage pour invoquer la fonction API Windows n\u00e9cessaire pour allouer de la m\u00e9moire (c’est-\u00e0-dire, NtAllocateVirtualMemory<\/a>) et injecter un shellcode arbitraire dans la m\u00e9moire via processus d’\u00e9videment<\/a>. <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiFnQCqFUEdZwz09FePR3hG7AgLONIkxkHQShYlYG9sMAfmFEby7X_H70pQ-9LE4EGZ23DtteXmqkaRJtbEWD3LgdJDEQS_GzBo6ugwqRwVEo_kbRN9E1kruaJrfiBDjY0e2mRjaHuWU1gkUzsLRVbvt0IMXMhc3P1YIy9M0fvNOrWDRwsyC7dkMcnC1A\/s728-e365-rj\/welcome-728.png\")
<\/a><\/center><\/div>\n