{"id":578656,"date":"2023-01-27T10:47:26","date_gmt":"2023-01-27T12:47:26","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-nouvelle-variante-de-logiciel-malveillant-plugx-se-propageant-via-des-peripheriques-usb-amovibles\/"},"modified":"2023-01-27T10:47:28","modified_gmt":"2023-01-27T12:47:28","slug":"des-chercheurs-decouvrent-une-nouvelle-variante-de-logiciel-malveillant-plugx-se-propageant-via-des-peripheriques-usb-amovibles","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-nouvelle-variante-de-logiciel-malveillant-plugx-se-propageant-via-des-peripheriques-usb-amovibles\/","title":{"rendered":"Des chercheurs d\u00e9couvrent une nouvelle variante de logiciel malveillant PlugX se propageant via des p\u00e9riph\u00e9riques USB amovibles"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>27 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 des points finaux \/ Logiciels malveillants<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un \u00e9chantillon PlugX qui utilise des m\u00e9thodes sournoises pour infecter les p\u00e9riph\u00e9riques multim\u00e9dias USB amovibles connect\u00e9s afin de propager le logiciel malveillant \u00e0 d’autres syst\u00e8mes.<\/p>\n

“Cette variante PlugX est vermifuge et infecte les p\u00e9riph\u00e9riques USB de telle mani\u00e8re qu’elle se cache du syst\u00e8me de fichiers d’exploitation Windows”, ont d\u00e9clar\u00e9 Mike Harbison et Jen Miller-Osborn, chercheurs de l’unit\u00e9 42 de Palo Alto Networks. m’a dit<\/a>. “Un utilisateur ne saurait pas que son p\u00e9riph\u00e9rique USB est infect\u00e9 ou peut-\u00eatre utilis\u00e9 pour exfiltrer des donn\u00e9es hors de ses r\u00e9seaux.”<\/p>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir d\u00e9couvert l’artefact lors d’un effort de r\u00e9ponse \u00e0 un incident suite \u00e0 une attaque de ran\u00e7ongiciel Black Basta contre une victime anonyme. Parmi les autres outils d\u00e9couverts dans l’environnement compromis, citons le chargeur de logiciels malveillants Gootkit et le cadre de l’\u00e9quipe rouge Brute Ratel C4.<\/p>\n

L’utilisation de Brute Ratel par le groupe Black Basta avait d\u00e9j\u00e0 \u00e9t\u00e9 mise en \u00e9vidence par Trend Micro en octobre 2022, le logiciel \u00e9tant livr\u00e9 en tant que charge utile de deuxi\u00e8me \u00e9tape au moyen d’une campagne de phishing Qakbot. La cha\u00eene d’attaque a depuis \u00e9t\u00e9 utilis\u00e9e contre un grand groupe \u00e9nerg\u00e9tique r\u00e9gional bas\u00e9 dans le sud-est des \u00c9tats-Unis, selon S\u00e9curit\u00e9 des quadrants<\/a>.<\/p>\n

Cependant, il n’y a aucune preuve qui lie PlugX, une porte d\u00e9rob\u00e9e largement partag\u00e9e entre plusieurs groupes d’\u00c9tats-nations chinois, ou Gootkit au gang de ran\u00e7ongiciels Black Basta, ce qui sugg\u00e8re qu’il pourrait avoir \u00e9t\u00e9 d\u00e9ploy\u00e9 par d’autres acteurs.<\/p>\n

La variante USB de PlugX se distingue par le fait qu’elle utilise un caract\u00e8re Unicode particulier appel\u00e9 espace ins\u00e9cable (U+00A0<\/a>) pour masquer les fichiers d’un p\u00e9riph\u00e9rique USB branch\u00e9 sur un poste de travail.<\/p>\n

“Le caract\u00e8re d’espacement emp\u00eache le syst\u00e8me d’exploitation Windows de restituer le nom du r\u00e9pertoire, le masquant plut\u00f4t que de laisser un dossier sans nom dans l’Explorateur”, ont d\u00e9clar\u00e9 les chercheurs, expliquant la nouvelle technique.<\/p>\n

En fin de compte, un fichier de raccourci Windows (.LNK) cr\u00e9\u00e9 dans le dossier racine du lecteur flash est utilis\u00e9 pour ex\u00e9cuter le logiciel malveillant \u00e0 partir du r\u00e9pertoire cach\u00e9. L’\u00e9chantillon PlugX n’est pas seulement charg\u00e9 d’implanter le logiciel malveillant sur l’h\u00f4te, mais \u00e9galement de le copier sur tout p\u00e9riph\u00e9rique amovible qui peut y \u00eatre connect\u00e9 en le camouflant dans un dossier de corbeille.<\/p>\n

\"Logiciel<\/div>\n

Le fichier de raccourci, pour sa part, porte le m\u00eame nom que celui du p\u00e9riph\u00e9rique USB et appara\u00eet sous la forme d’une ic\u00f4ne de lecteur, avec les fichiers ou r\u00e9pertoires existants \u00e0 la racine du p\u00e9riph\u00e9rique amovible d\u00e9plac\u00e9s vers un dossier cach\u00e9 cr\u00e9\u00e9 \u00e0 l’int\u00e9rieur du dossier “raccourci” .<\/p>\n

“Chaque fois que l’on clique sur le fichier de raccourci du p\u00e9riph\u00e9rique USB infect\u00e9, le logiciel malveillant PlugX lance l’Explorateur Windows et transmet le chemin du r\u00e9pertoire en tant que param\u00e8tre”, a d\u00e9clar\u00e9 l’unit\u00e9 42. “Cela affiche ensuite les fichiers sur le p\u00e9riph\u00e9rique USB \u00e0 partir des r\u00e9pertoires cach\u00e9s et infecte \u00e9galement l’h\u00f4te avec le malware PlugX.”<\/p>\n

La technique mise sur le fait que l’Explorateur de fichiers Windows (anciennement l’Explorateur Windows) par d\u00e9faut n’affiche pas objets cach\u00e9s<\/a>. Mais la tournure intelligente ici est que les fichiers malveillants dans la soi-disant corbeille ne s’affichent pas lorsque le param\u00e8tre est activ\u00e9.<\/p>\n

Cela signifie effectivement que les fichiers malveillants ne peuvent \u00eatre visualis\u00e9s que sur un syst\u00e8me d’exploitation de type Unix comme Ubuntu ou en montant le p\u00e9riph\u00e9rique USB dans un outil m\u00e9dico-l\u00e9gal.<\/p>\n

“Une fois qu’un p\u00e9riph\u00e9rique USB est d\u00e9couvert et infect\u00e9, tous les nouveaux fichiers \u00e9crits dans le dossier racine du p\u00e9riph\u00e9rique USB apr\u00e8s l’infection sont d\u00e9plac\u00e9s vers le dossier cach\u00e9 du p\u00e9riph\u00e9rique USB”, ont d\u00e9clar\u00e9 les chercheurs. “\u00c9tant donn\u00e9 que le fichier de raccourci Windows ressemble \u00e0 celui d’un p\u00e9riph\u00e9rique USB et que le logiciel malveillant affiche les fichiers de la victime, ils continuent involontairement \u00e0 propager le logiciel malveillant PlugX.”<\/p>\n

L’unit\u00e9 42 a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert une deuxi\u00e8me variante de PlugX qui, en plus d’infecter les p\u00e9riph\u00e9riques USB, copie en outre tous les fichiers Adobe PDF et Microsoft Word de l’h\u00f4te vers un autre dossier cach\u00e9 sur le p\u00e9riph\u00e9rique USB cr\u00e9\u00e9 par le logiciel malveillant.<\/p>\n

L’utilisation de cl\u00e9s USB comme moyen d’exfiltrer des fichiers d’int\u00e9r\u00eat sp\u00e9cifiques de ses cibles indique une tentative de la part des acteurs de la menace de sauter par-dessus des r\u00e9seaux isol\u00e9s.<\/p>\n

Avec le dernier d\u00e9veloppement, PlugX rejoint les rangs d’autres familles de logiciels malveillants tels que ANDROMEDA et Raspberry Robin qui ont ajout\u00e9 la capacit\u00e9 de se propager via des cl\u00e9s USB infect\u00e9es.<\/p>\n

“La d\u00e9couverte de ces \u00e9chantillons indique que le d\u00e9veloppement de PlugX est toujours bien vivant parmi au moins certains attaquants techniquement qualifi\u00e9s, et qu’il reste une menace active”, ont conclu les chercheurs.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n