{"id":553443,"date":"2023-01-11T13:13:26","date_gmt":"2023-01-11T15:13:26","guid":{"rendered":"https:\/\/teknomers.com\/fr\/le-secteur-australien-de-la-sante-cible-par-les-dernieres-attaques-de-logiciels-malveillants-gootkit\/"},"modified":"2023-01-11T13:13:27","modified_gmt":"2023-01-11T15:13:27","slug":"le-secteur-australien-de-la-sante-cible-par-les-dernieres-attaques-de-logiciels-malveillants-gootkit","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/le-secteur-australien-de-la-sante-cible-par-les-dernieres-attaques-de-logiciels-malveillants-gootkit\/","title":{"rendered":"Le secteur australien de la sant\u00e9 cibl\u00e9 par les derni\u00e8res attaques de logiciels malveillants Gootkit"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>11 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Sant\u00e9\/Cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Une vague d’attaques de chargeurs de logiciels malveillants Gootkit a cibl\u00e9 le secteur de la sant\u00e9 australien en exploitant des outils l\u00e9gitimes tels que VLC Media Player.<\/p>\n

Gootkit, \u00e9galement appel\u00e9 Gootloader, est connu<\/a> pour employer<\/a> tactiques d’empoisonnement de l’optimisation des moteurs de recherche (SEO) (alias spamdexing) pour l’acc\u00e8s initial. Cela fonctionne g\u00e9n\u00e9ralement en compromettant et en abusant des infrastructures l\u00e9gitimes et en ensemen\u00e7ant ces sites avec des mots-cl\u00e9s communs.<\/p>\n

Comme d’autres logiciels malveillants de ce type, Gootkit est capable de voler des donn\u00e9es du navigateur, d’effectuer des attaques d’adversaire dans le navigateur (AitB), d’enregistrer des frappes, de prendre des captures d’\u00e9cran et d’autres actions malveillantes.<\/p>\n

Trend Micro nouvelles d\u00e9couvertes<\/a> r\u00e9v\u00e8lent que les mots-cl\u00e9s \u00ab\u00a0h\u00f4pital\u00a0\u00bb, \u00ab\u00a0sant\u00e9\u00a0\u00bb, \u00ab\u00a0m\u00e9dical\u00a0\u00bb et \u00ab\u00a0accord d’entreprise\u00a0\u00bb ont \u00e9t\u00e9 associ\u00e9s \u00e0 divers noms de villes en Australie, marquant l’expansion d’un logiciel malveillant au-del\u00e0 des cabinets comptables et juridiques.<\/p>\n

Le point de d\u00e9part de la cyberattaque consiste \u00e0 diriger les utilisateurs recherchant les m\u00eames mots-cl\u00e9s vers un blog WordPress infect\u00e9 qui les incite \u00e0 t\u00e9l\u00e9charger des fichiers ZIP contenant des logiciels malveillants.<\/p>\n

“Lorsqu’il acc\u00e8de au site, l’utilisateur se voit pr\u00e9senter un \u00e9cran con\u00e7u pour ressembler \u00e0 un forum l\u00e9gitime”, ont d\u00e9clar\u00e9 les chercheurs de Trend Micro. “Les utilisateurs sont amen\u00e9s \u00e0 acc\u00e9der au lien afin que le fichier ZIP malveillant puisse \u00eatre t\u00e9l\u00e9charg\u00e9.”<\/p>\n

\"Attaques<\/div>\n

De plus, le code JavaScript utilis\u00e9 pour r\u00e9aliser cette supercherie est inject\u00e9 dans un fichier JavaScript valide dans des sections al\u00e9atoires du site Web pirat\u00e9.<\/p>\n

L’archive ZIP t\u00e9l\u00e9charg\u00e9e, pour sa part, contient \u00e9galement un fichier JavaScript qui, lors de son ex\u00e9cution, utilise non seulement l’obscurcissement pour \u00e9chapper \u00e0 l’analyse, mais est \u00e9galement utilis\u00e9 pour \u00e9tablir la persistance sur la machine au moyen d’une t\u00e2che planifi\u00e9e.<\/p>\n

La cha\u00eene d’ex\u00e9cution conduit ensuite \u00e0 un script PowerShell con\u00e7u pour r\u00e9cup\u00e9rer des fichiers d’un serveur distant pour une activit\u00e9 de post-exploitation, qui ne commence qu’apr\u00e8s une p\u00e9riode d’attente allant de quelques heures \u00e0 deux jours.<\/p>\n

“Cette latence, qui s\u00e9pare clairement la phase initiale d’infection de la deuxi\u00e8me phase, est une caract\u00e9ristique distinctive du fonctionnement du chargeur Gootkit”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

Une fois le temps d’attente \u00e9coul\u00e9, deux charges utiles suppl\u00e9mentaires sont supprim\u00e9es – msdtc.exe et libvlc.dll – dont le premier est un binaire VLC Media Player l\u00e9gitime utilis\u00e9 pour charger le composant Cobalt Strike DLL, suivi du t\u00e9l\u00e9chargement d’autres outils pour faciliter la d\u00e9couverte.<\/p>\n

“Les acteurs malveillants derri\u00e8re [Gootkit] mettent activement en \u0153uvre leur campagne \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Les menaces visant des secteurs d’emploi, des industries et des zones g\u00e9ographiques sp\u00e9cifiques deviennent de plus en plus agressives.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n