{"id":567939,"date":"2023-01-20T15:12:51","date_gmt":"2023-01-20T17:12:51","guid":{"rendered":"https:\/\/teknomers.com\/fr\/roaming-mantis-propage-des-logiciels-malveillants-mobiles-qui-detournent-les-parametres-dns-des-routeurs-wi-fi\/"},"modified":"2023-01-20T15:12:52","modified_gmt":"2023-01-20T17:12:52","slug":"roaming-mantis-propage-des-logiciels-malveillants-mobiles-qui-detournent-les-parametres-dns-des-routeurs-wi-fi","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/roaming-mantis-propage-des-logiciels-malveillants-mobiles-qui-detournent-les-parametres-dns-des-routeurs-wi-fi\/","title":{"rendered":"Roaming Mantis propage des logiciels malveillants mobiles qui d\u00e9tournent les param\u00e8tres DNS des routeurs Wi-Fi"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>20 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 r\u00e9seau \/ Piratage mobile<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les acteurs de la menace associ\u00e9s \u00e0 la campagne d’attaque Roaming Mantis ont \u00e9t\u00e9 observ\u00e9s en train de livrer une variante mise \u00e0 jour de leur malware mobile brevet\u00e9 connu sous le nom de Wroba <\/b>pour infiltrer les routeurs Wi-Fi et entreprendre le syst\u00e8me de noms de domaine (DNS<\/a>) d\u00e9tournement.<\/p>\n

Kaspersky, qui a r\u00e9alis\u00e9 une une analyse<\/a> de l’artefact malveillant, a d\u00e9clar\u00e9 que la fonctionnalit\u00e9 est con\u00e7ue pour cibler des routeurs Wi-Fi sp\u00e9cifiques situ\u00e9s en Cor\u00e9e du Sud.<\/p>\n

Roaming Mantis, \u00e9galement connu sous le nom de Shaoye, est une op\u00e9ration de longue date \u00e0 motivation financi\u00e8re qui cible les utilisateurs de smartphones Android avec des logiciels malveillants capables de voler les identifiants de compte bancaire ainsi que de r\u00e9colter d’autres types d’informations sensibles.<\/p>\n

Bien que principalement ciblant la r\u00e9gion asiatique<\/a> depuis 2018, l’\u00e9quipe de piratage a \u00e9t\u00e9 d\u00e9tect\u00e9e en train d’\u00e9largir sa gamme de victimes pour inclure la France et l’Allemagne pour la premi\u00e8re fois au d\u00e9but de 2022 en camouflant le logiciel malveillant en tant qu’application de navigateur Web Google Chrome.<\/p>\n

Les attaques exploitent les messages de smishing comme vecteur d’intrusion initial de choix pour fournir une URL pi\u00e9g\u00e9e qui propose un APK malveillant ou redirige la victime vers des pages de phishing bas\u00e9es sur le syst\u00e8me d’exploitation install\u00e9 sur les appareils mobiles.<\/p>\n

\"Param\u00e8tres<\/div>\n

Alternativement, certains compromis ont \u00e9galement exploit\u00e9 les routeurs Wi-Fi comme moyen d’amener les utilisateurs sans m\u00e9fiance vers une fausse page de destination en utilisant une technique appel\u00e9e Piratage DNS<\/a>dans lequel les requ\u00eates DNS sont manipul\u00e9es afin de rediriger les cibles vers de faux sites.<\/p>\n

Quelle que soit la m\u00e9thode utilis\u00e9e, les intrusions ouvrent la voie au d\u00e9ploiement d’un malware appel\u00e9 Wroba (alias MoqHao et XLoader) qui est capable d’effectuer une multitude d’activit\u00e9s n\u00e9fastes.<\/p>\n

La derni\u00e8re mise \u00e0 jour de Wroba, selon la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, implique une fonction de changeur DNS con\u00e7ue pour d\u00e9tecter certains routeurs en fonction de leurs num\u00e9ros de mod\u00e8le et empoisonner leurs param\u00e8tres DNS.<\/p>\n

“La nouvelle fonctionnalit\u00e9 de changeur DNS peut g\u00e9rer toutes les communications de l’appareil \u00e0 l’aide du routeur Wi-Fi compromis, comme la redirection vers des h\u00f4tes malveillants et la d\u00e9sactivation des mises \u00e0 jour des produits de s\u00e9curit\u00e9”, a d\u00e9clar\u00e9 Suguru Ishimaru, chercheur chez Kaspersky.<\/p>\n

L’id\u00e9e sous-jacente est de faire en sorte que les appareils connect\u00e9s au routeur Wi-Fi pirat\u00e9 soient redirig\u00e9s vers des pages Web contr\u00f4l\u00e9es par l’auteur de la menace pour une exploitation ult\u00e9rieure. \u00c9tant donn\u00e9 que certaines de ces pages contiennent le logiciel malveillant Wroba, la cha\u00eene d’attaque cr\u00e9e effectivement un flux constant de “bots” qui peuvent \u00eatre transform\u00e9s en armes pour p\u00e9n\u00e9trer dans des routeurs Wi-Fi sains.<\/p>\n

Il est \u00e0 noter que le programme de changeur DNS est exclusivement utilis\u00e9 en Cor\u00e9e du Sud. Cependant, le malware Wroba en lui-m\u00eame a \u00e9t\u00e9 rep\u00e9r\u00e9 ciblant des victimes en Autriche, en France, en Allemagne, en Inde, au Japon, en Malaisie, \u00e0 Ta\u00efwan, en Turquie et aux \u00c9tats-Unis via le smishing.<\/p>\n

“Les utilisateurs d’appareils Android infect\u00e9s qui se connectent \u00e0 des r\u00e9seaux Wi-Fi gratuits ou publics peuvent propager le malware \u00e0 d’autres appareils du r\u00e9seau si le r\u00e9seau Wi-Fi auquel ils sont connect\u00e9s est vuln\u00e9rable”, a d\u00e9clar\u00e9 le chercheur.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n