{"id":581370,"date":"2023-01-29T06:24:29","date_gmt":"2023-01-29T08:24:29","guid":{"rendered":"https:\/\/teknomers.com\/fr\/gootkit-malware-continue-devoluer-avec-de-nouveaux-composants-et-des-obfuscations\/"},"modified":"2023-01-29T06:24:31","modified_gmt":"2023-01-29T08:24:31","slug":"gootkit-malware-continue-devoluer-avec-de-nouveaux-composants-et-des-obfuscations","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/gootkit-malware-continue-devoluer-avec-de-nouveaux-composants-et-des-obfuscations\/","title":{"rendered":"Gootkit Malware continue d’\u00e9voluer avec de nouveaux composants et des obfuscations"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>29 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cybermenace\/malware<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les acteurs de la menace associ\u00e9s au malware Gootkit ont apport\u00e9 des “modifications notables” \u00e0 leur ensemble d’outils, en ajoutant de nouveaux composants et des obfuscations \u00e0 leurs cha\u00eenes d’infection.<\/p>\n

Mandiant, propri\u00e9t\u00e9 de Google, est surveillance<\/a> le p\u00f4le d’activit\u00e9s sous le nom UNC2565<\/strong>notant que l’utilisation du logiciel malveillant est “exclusive \u00e0 ce groupe”.<\/p>\n

Gootkit, \u00e9galement appel\u00e9 Gootloader, se propage via des sites Web compromis que les victimes sont amen\u00e9es \u00e0 visiter lorsqu’elles recherchent des documents commerciaux tels que des accords et des contrats via une technique appel\u00e9e empoisonnement \u00e0 l’optimisation des moteurs de recherche (SEO).<\/p>\n

Les pr\u00e9tendus documents prennent la forme d’archives ZIP qui h\u00e9bergent le malware JavaScript, qui, une fois lanc\u00e9, ouvre la voie \u00e0 des charges utiles suppl\u00e9mentaires telles que Cobalt Strike Beacon, FONELAUNCH et SNOWCONE.<\/p>\n

FONELAUNCH est un chargeur bas\u00e9 sur .NET con\u00e7u pour charger une charge utile cod\u00e9e en m\u00e9moire, et SNOWCONE est un t\u00e9l\u00e9chargeur charg\u00e9 de r\u00e9cup\u00e9rer les charges utiles de la prochaine \u00e9tape, g\u00e9n\u00e9ralement IcedID, via HTTP.<\/p>\n

\"Logiciel<\/div>\n

Alors que les objectifs g\u00e9n\u00e9raux de Gootkit sont rest\u00e9s inchang\u00e9s, la s\u00e9quence d’attaque en elle-m\u00eame a re\u00e7u des mises \u00e0 jour importantes, dans lesquelles le fichier JavaScript dans l’archive ZIP est trojanis\u00e9 et contient un autre fichier JavaScript obscurci qui proc\u00e8de par cons\u00e9quent \u00e0 l’ex\u00e9cution du logiciel malveillant.<\/p>\n

\"Logiciel<\/div>\n

La nouvelle variante, qui a \u00e9t\u00e9 rep\u00e9r\u00e9e par la soci\u00e9t\u00e9 de renseignement sur les menaces en novembre 2022, est suivie sous le nom de GOOTLOADER.POWERSHELL. Il convient de noter que la cha\u00eene d’infection remani\u00e9e a \u00e9galement \u00e9t\u00e9 document\u00e9e par Trend Micro au d\u00e9but du mois, d\u00e9taillant les attaques de Gootkit ciblant le secteur de la sant\u00e9 australien.<\/p>\n

De plus, les auteurs de logiciels malveillants auraient adopt\u00e9 trois approches diff\u00e9rentes pour obscurcir Gootkit, notamment en dissimulant le code dans des versions modifi\u00e9es de biblioth\u00e8ques JavaScript l\u00e9gitimes telles que jQuery, Chroma.js et Underscore.js, dans le but d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n

Ce n’est pas seulement Gootkit, car trois versions diff\u00e9rentes de FONELAUNCH – FONELAUNCH.FAX, FONELAUNCH.PHONE et FONELAUNCH.DIALTONE – ont \u00e9t\u00e9 utilis\u00e9es par UNC2565 depuis mai 2021 pour ex\u00e9cuter des DLL, des binaires .NET et des fichiers PE, indiquant que le L’arsenal de logiciels malveillants est continuellement maintenu et mis \u00e0 jour.<\/p>\n

“Ces changements illustrent le d\u00e9veloppement actif et la croissance des capacit\u00e9s de l’UNC2565”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant, Govand Sinjari et Andy Morales.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n