Les chevaux de Troie d’acc\u00e8s \u00e0 distance tels que StrRAT et Ratty sont distribu\u00e9s sous la forme d’une combinaison d’archives Java polyglottes et malveillantes (POT<\/a>), soulignant une fois de plus comment les acteurs de la menace trouvent continuellement de nouvelles fa\u00e7ons de voler sous le radar.<\/p>\n “Les attaquants utilisent d\u00e9sormais la technique polyglotte pour confondre les solutions de s\u00e9curit\u00e9 qui ne valident pas correctement le format de fichier JAR”, a d\u00e9clar\u00e9 Simon Kenin, chercheur en s\u00e9curit\u00e9 chez Deep Instinct. m’a dit<\/a> dans un rapport.<\/p>\n Fichiers polyglottes<\/a> sont des fichiers qui combinent la syntaxe de deux ou plusieurs formats diff\u00e9rents de mani\u00e8re \u00e0 ce que chaque format puisse \u00eatre analys\u00e9 sans g\u00e9n\u00e9rer d’erreur.<\/p>\n L’une de ces campagnes de 2022 rep\u00e9r\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 est l’utilisation des formats JAR et MSI – c’est-\u00e0-dire un fichier valide \u00e0 la fois comme installateur JAR et MSI – pour d\u00e9ployer la charge utile StrRAT. Cela signifie \u00e9galement que le fichier peut \u00eatre ex\u00e9cut\u00e9 \u00e0 la fois par Windows et Java Runtime Environment (JRE) en fonction de la mani\u00e8re dont il est interpr\u00e9t\u00e9.<\/p>\n Un autre exemple implique l’utilisation de polyglottes CAB et JAR pour fournir \u00e0 la fois Ratty et StrRAT. Les artefacts sont propag\u00e9s \u00e0 l’aide de services de raccourcissement d’URL tels que cutt.ly et rebrand.ly, certains d’entre eux \u00e9tant h\u00e9berg\u00e9s sur Discord.<\/p>\n “La particularit\u00e9 des fichiers ZIP, c’est qu’ils sont identifi\u00e9s par la pr\u00e9sence d’un fin de la fiche du r\u00e9pertoire central<\/a> qui se trouve \u00e0 la fin de l’archive \u00bb, a expliqu\u00e9 Kenin. \u00ab Cela signifie que tout \u00ab fichier inutile \u00bb que nous ajoutons au d\u00e9but du fichier sera ignor\u00e9 et l’archive est toujours valide.<\/p>\n L’absence de validation ad\u00e9quate des fichiers JAR entra\u00eene un sc\u00e9nario dans lequel le contenu ajout\u00e9 malveillant peut contourner le logiciel de s\u00e9curit\u00e9 et rester non d\u00e9tect\u00e9 jusqu’\u00e0 ce qu’il soit ex\u00e9cut\u00e9 sur les h\u00f4tes compromis.<\/p>\n Ce n’est pas la premi\u00e8re fois que de tels polyglottes contenant des logiciels malveillants sont d\u00e9tect\u00e9s dans la nature. En novembre 2022, DCSO CyTec, bas\u00e9 \u00e0 Berlin, a mis au jour un voleur d’informations surnomm\u00e9 StrelaStealer<\/a> qui se propage sous forme de polyglotte DLL\/HTML.<\/p>\n “La d\u00e9tection appropri\u00e9e des fichiers JAR doit \u00eatre \u00e0 la fois statique et dynamique”, a d\u00e9clar\u00e9 Kenin. “Il est inefficace d’analyser chaque fichier pour d\u00e9tecter la pr\u00e9sence d’un enregistrement de fin de r\u00e9pertoire central \u00e0 la fin du fichier.”<\/p>\n “Les d\u00e9fenseurs doivent surveiller \u00e0 la fois les processus ‘java’ et ‘javaw’. Si un tel processus a ‘-jar’ comme argument, le nom de fichier pass\u00e9 en argument doit \u00eatre trait\u00e9 comme un fichier JAR, quelle que soit l’extension de fichier ou la sortie du Linux commande ‘fichier’.”<\/p>\n <\/p>\n![\"Fichiers](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673616341_246_Les-cybercriminels-utilisent-des-fichiers-polyglottes-dans-la-distribution-de.png\" "\\"Fichiers")
<\/div>\n