Le c\u00e9l\u00e8bre voleur d’informations connu sous le nom de Vidar<\/strong> continue de tirer parti des services de m\u00e9dias sociaux populaires tels que TikTok, Telegram, Steam et Mastodon en tant que serveur interm\u00e9diaire de commande et de contr\u00f4le (C2).<\/p>\n “Lorsqu’un utilisateur cr\u00e9e un compte sur une plate-forme en ligne, une page de compte unique accessible \u00e0 tous est g\u00e9n\u00e9r\u00e9e”, a r\u00e9v\u00e9l\u00e9 AhnLab Security Emergency Response Center (ASEC) dans une analyse technique. publi\u00e9<\/a> tard le mois dernier. “Les acteurs de la menace \u00e9crivent des caract\u00e8res d’identification et l’adresse C2 dans certaines parties de cette page.”<\/p>\n En d’autres termes, la technique repose sur des comptes jetables contr\u00f4l\u00e9s par des acteurs cr\u00e9\u00e9s sur les r\u00e9seaux sociaux pour r\u00e9cup\u00e9rer l’adresse C2.<\/p>\n Un avantage de cette approche est que si le serveur C2 est d\u00e9sactiv\u00e9 ou bloqu\u00e9, l’adversaire peut facilement contourner les restrictions en configurant un nouveau serveur et en modifiant les pages du compte pour permettre au logiciel malveillant pr\u00e9c\u00e9demment distribu\u00e9 de communiquer avec le serveur.<\/p>\n Vidar, identifi\u00e9 pour la premi\u00e8re fois en 2018, est un commercial<\/a> sur l’\u00e9tag\u00e8re<\/a> malware<\/a> qui est capable de r\u00e9colter un large \u00e9ventail d’informations \u00e0 partir d’h\u00f4tes compromis. Il s’appuie g\u00e9n\u00e9ralement sur des m\u00e9canismes de livraison tels que les e-mails de phishing et les logiciels pirat\u00e9s pour la propagation.<\/p>\n “Une fois la collecte d’informations termin\u00e9e, les informations extorqu\u00e9es sont compress\u00e9es dans un fichier ZIP, encod\u00e9es en Base64 et transmises au serveur C2”, ont d\u00e9clar\u00e9 les chercheurs de l’ASEC.<\/p>\n La nouveaut\u00e9 de la derni\u00e8re version du logiciel malveillant (version 56.1) est que les donn\u00e9es collect\u00e9es sont encod\u00e9es avant l’exfiltration, un changement par rapport aux variantes pr\u00e9c\u00e9dentes connues pour envoyer les donn\u00e9es de fichiers compress\u00e9es au format texte brut.<\/p>\n “Comme Vidar utilise des plates-formes c\u00e9l\u00e8bres comme interm\u00e9diaire C2, il a une longue dur\u00e9e de vie”, ont d\u00e9clar\u00e9 les chercheurs. “Le compte d’un acteur malveillant cr\u00e9\u00e9 il y a six mois est toujours maintenu et mis \u00e0 jour en permanence.”<\/p>\n Le d\u00e9veloppement intervient au milieu de d\u00e9couvertes r\u00e9centes selon lesquelles le logiciel malveillant est distribu\u00e9 \u00e0 l’aide de diverses m\u00e9thodes, y compris des annonces Google malveillantes et un chargeur de logiciels malveillants surnomm\u00e9 Bourdon<\/a>ce dernier \u00e9tant attribu\u00e9 \u00e0 un acteur mena\u00e7ant suivi sous le nom de Exotic Lily et Projecteur Balance<\/a>.<\/p>\n Le cabinet de conseil en risques Kroll, dans un une analyse<\/a> publi\u00e9 le mois dernier, a d\u00e9clar\u00e9 avoir d\u00e9couvert une publicit\u00e9 pour l’\u00e9diteur d’images open source GIMP qui, lorsqu’elle \u00e9tait cliqu\u00e9e \u00e0 partir du r\u00e9sultat de recherche Google, redirigeait la victime vers un domaine typosquatt\u00e9 h\u00e9bergeant le malware Vidar.<\/p>\n Au contraire, l’\u00e9volution des m\u00e9thodes de diffusion des logiciels malveillants dans le paysage des menaces est en partie une r\u00e9ponse \u00e0 la d\u00e9cision de Microsoft de bloquer les macros par d\u00e9faut dans les fichiers Office t\u00e9l\u00e9charg\u00e9s sur Internet depuis juillet 2022.<\/p>\n Cela a conduit \u00e0 une augmentation de l’abus de formats de fichiers alternatifs tels que ISO, VHD, SVG et XLL dans les pi\u00e8ces jointes aux e-mails pour contourner les protections Mark of the Web (MotW) et \u00e9chapper aux mesures d’analyse anti-malware.<\/p>\n “Les fichiers d’image disque peuvent contourner la fonctionnalit\u00e9 MotW car lorsque les fichiers qu’ils contiennent sont extraits ou mont\u00e9s, MotW n’est pas h\u00e9rit\u00e9 des fichiers”, ont d\u00e9clar\u00e9 des chercheurs de l’ASEC. m’a dit<\/a>d\u00e9taillant une campagne Qakbot qui exploite une combinaison de contrebande HTML et de fichier VHD pour lancer le malware.<\/p>\n <\/p>\n![\"Vidar\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/Les-tactiques-evolutives-de-Vidar-Stealer-des-e-mails-de-phishing.png\" "\\"Vidar\\"\/")
<\/div>\n