Un packer bas\u00e9 sur un shellcode nomm\u00e9 TrickGate<\/strong> fonctionne avec succ\u00e8s sans attirer l’attention depuis plus de six ans, tout en permettant aux acteurs de la menace de d\u00e9ployer une large gamme de logiciels malveillants tels que TrickBot, Emotet, AZORult, Agent Tesla, FormBook, Cerber, Maze et REvil au fil des ans.<\/p>\n “TrickGate a r\u00e9ussi \u00e0 rester sous le radar pendant des ann\u00e9es parce qu’il est transformateur – il subit des changements p\u00e9riodiquement”, Arie Olshtein de Check Point Research m’a dit<\/a>le qualifiant de “ma\u00eetre des d\u00e9guisements”.<\/p>\n Propos\u00e9 en tant que service \u00e0 d’autres acteurs de la menace depuis au moins fin 2016, TrickGate aide \u00e0 dissimuler les charges utiles derri\u00e8re une couche de code wrapper dans le but de contourner les solutions de s\u00e9curit\u00e9 install\u00e9es sur un h\u00f4te. Les packers peuvent \u00e9galement fonctionner comme des crypteurs en cryptant le malware comme un m\u00e9canisme d’obscurcissement.<\/p>\n “Les packers ont diff\u00e9rentes fonctionnalit\u00e9s qui leur permettent de contourner les m\u00e9canismes de d\u00e9tection en apparaissant comme des fichiers b\u00e9nins, en \u00e9tant difficiles \u00e0 d\u00e9sosser ou en incorporant des techniques d’\u00e9vasion de bac \u00e0 sable”, Proofpoint c’est not\u00e9<\/a> en d\u00e9cembre 2020.<\/p>\n Mais les fr\u00e9quentes mises \u00e0 jour de l’emballeur commercial en tant que service signifiaient que TrickGate a \u00e9t\u00e9 suivi sous divers noms tels que nouveau chargeur<\/a>, Loncom<\/a>et Chiffreur bas\u00e9 sur NSIS<\/a> depuis 2019.<\/p>\n Les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie recueillies par Check Point indiquent que les acteurs de la menace qui exploitent TrickGate ont principalement cibl\u00e9 le secteur manufacturier et, dans une moindre mesure, les secteurs verticaux de l’\u00e9ducation, de la sant\u00e9, du gouvernement et de la finance.<\/p>\n Les familles de logiciels malveillants les plus populaires utilis\u00e9es dans les attaques au cours des deux derniers mois incluent FormBook, LokiBot, Agent Tesla, Remcos et Nanocore, avec des concentrations importantes signal\u00e9es \u00e0 Ta\u00efwan, en Turquie, en Allemagne, en Russie et en Chine.<\/p>\n La cha\u00eene d’infection consiste \u00e0 envoyer des e-mails de phishing avec des pi\u00e8ces jointes malveillantes ou des liens pi\u00e9g\u00e9s qui conduisent au t\u00e9l\u00e9chargement d’un chargeur de shellcode responsable du d\u00e9cryptage et du lancement de la charge utile r\u00e9elle en m\u00e9moire.<\/p>\n L’analyse du shellcode par la firme isra\u00e9lienne de cybers\u00e9curit\u00e9 montre qu’il “a \u00e9t\u00e9 constamment mis \u00e0 jour, mais les principales fonctionnalit\u00e9s existent sur tous les \u00e9chantillons depuis 2016”. Olshtein a not\u00e9 que “le module d’injection a \u00e9t\u00e9 la partie la plus coh\u00e9rente au fil des ans et a \u00e9t\u00e9 observ\u00e9 dans tous les shellcodes TrickGate”.<\/p>\n <\/p>\n![\"D\u00e9tection](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1675183168_57_Des-chercheurs-decouvrent-un-packer-utilise-par-plusieurs-logiciels-malveillants.png\" "\\"D\u00e9tection")
<\/div>\n