Les chercheurs en cybers\u00e9curit\u00e9 ont mis au jour une nouvelle campagne d’attaque bas\u00e9e sur Python qui exploite un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) bas\u00e9 sur Python pour prendre le contr\u00f4le des syst\u00e8mes compromis depuis au moins ao\u00fbt 2022.<\/p>\n
“Ce malware est unique dans son utilisation de WebSockets<\/a> pour \u00e9viter la d\u00e9tection et pour la communication de commande et de contr\u00f4le (C2) et l’exfiltration \u00bb, Securonix m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Le malware, surnomm\u00e9 PY#RATION par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, est dot\u00e9 d’une foule de fonctionnalit\u00e9s qui permettent \u00e0 l’acteur de la menace de r\u00e9colter des informations sensibles. Les versions ult\u00e9rieures de la porte d\u00e9rob\u00e9e int\u00e8grent \u00e9galement des techniques anti-\u00e9vasion, ce qui sugg\u00e8re qu’elle est activement d\u00e9velopp\u00e9e et maintenue.<\/p>\n L’attaque commence par un e-mail de phishing contenant une archive ZIP, qui, \u00e0 son tour, h\u00e9berge deux fichiers de raccourci (.LNK) qui se font passer pour des images recto et verso d’un permis de conduire britannique apparemment l\u00e9gitime.<\/p>\n L’ouverture de chacun des fichiers .LNK r\u00e9cup\u00e8re deux fichiers texte d’un serveur distant qui sont ensuite renomm\u00e9s en fichiers .BAT et ex\u00e9cut\u00e9s furtivement en arri\u00e8re-plan, tandis que l’image leurre est affich\u00e9e \u00e0 la victime.<\/p>\n \u00c9galement t\u00e9l\u00e9charg\u00e9 \u00e0 partir d’un serveur C2, un autre script batch est con\u00e7u pour r\u00e9cup\u00e9rer des charges utiles suppl\u00e9mentaires \u00e0 partir du serveur, y compris le binaire Python (“CortanaAssistance.exe”). Le choix d’utiliser Cortana, l’assistant virtuel de Microsoft, indique une tentative de faire passer le malware pour un fichier syst\u00e8me.<\/p>\n Deux versions du cheval de Troie ont \u00e9t\u00e9 d\u00e9tect\u00e9es (versions 1.0 et 1.6), avec pr\u00e8s de 1 000 lignes de code ajout\u00e9es \u00e0 la nouvelle variante pour prendre en charge les fonctionnalit\u00e9s d’analyse du r\u00e9seau afin d’effectuer une reconnaissance du r\u00e9seau compromis et de dissimuler le code Python derri\u00e8re une couche de cryptage \u00e0 l’aide du module fernet<\/a>.<\/p>\n D’autres fonctionnalit\u00e9s remarquables comprennent la possibilit\u00e9 de transf\u00e9rer des fichiers de l’h\u00f4te vers C2 ou vice versa, d’enregistrer les frappes au clavier, d’ex\u00e9cuter des commandes syst\u00e8me, d’extraire les mots de passe et les cookies des navigateurs Web, de capturer les donn\u00e9es du presse-papiers et de v\u00e9rifier la pr\u00e9sence d’un logiciel antivirus.<\/p>\n De plus, PY#RATION fonctionne comme une voie pour d\u00e9ployer plus de logiciels malveillants, qui consistent en un autre voleur d’informations bas\u00e9 sur Python con\u00e7u pour siphonner les donn\u00e9es des navigateurs Web et des portefeuilles de crypto-monnaie.<\/p>\n Les origines de l’acteur de la menace restent inconnues, mais la nature des leurres de phishing suppose que les cibles vis\u00e9es pourraient probablement \u00eatre le Royaume-Uni ou l’Am\u00e9rique du Nord.<\/p>\n “Le malware PY#RATION est non seulement relativement difficile \u00e0 d\u00e9tecter, mais le fait qu’il s’agisse d’un binaire compil\u00e9 en Python le rend extr\u00eamement flexible car il fonctionnera sur presque toutes les cibles, y compris les variantes Windows, OSX et Linux”, ont d\u00e9clar\u00e9 les chercheurs Den Iuzvyk, Tim Peck, et Oleg Kolesnikov ont dit.<\/p>\n “Le fait que les acteurs de la menace aient utilis\u00e9 une couche de cryptage fernet pour masquer la source d’origine complique la difficult\u00e9 de d\u00e9tecter les cha\u00eenes malveillantes connues.”<\/p>\n <\/p>\n