Une campagne de publicit\u00e9 malveillante en cours est utilis\u00e9e pour distribuer des chargeurs .NET virtualis\u00e9s con\u00e7us pour d\u00e9ployer le logiciel malveillant voleur d’informations FormBook.<\/p>\n
“Les chargeurs, surnomm\u00e9s MalVirt, utilisent une virtualisation obscurcie pour l’anti-analyse et l’\u00e9vasion, ainsi que le pilote Windows Process Explorer pour terminer les processus”, ont d\u00e9clar\u00e9 les chercheurs de SentinelOne, Aleksandar Milenkoski et Tom Hegel. a dit<\/a> dans une r\u00e9daction technique.<\/p>\n Le passage \u00e0 la publicit\u00e9 malveillante de Google est le dernier exemple de la fa\u00e7on dont les acteurs des logiciels criminels con\u00e7oivent des itin\u00e9raires de livraison alternatifs pour distribuer des logiciels malveillants depuis que Microsoft a annonc\u00e9 son intention de bloquer l’ex\u00e9cution de macros dans Office par d\u00e9faut \u00e0 partir de fichiers t\u00e9l\u00e9charg\u00e9s sur Internet.<\/p>\n La publicit\u00e9 malveillante consiste \u00e0 placer des publicit\u00e9s malveillantes sur les moteurs de recherche dans l’espoir d’inciter les utilisateurs \u00e0 la recherche de logiciels populaires comme Blender \u00e0 t\u00e9l\u00e9charger le logiciel cheval de Troie.<\/p>\n Les chargeurs MalVirt, qui sont impl\u00e9ment\u00e9s dans .NET, utilisent le l\u00e9gitime KoiVMComment<\/a> protecteur de virtualisation pour les applications .NET pour dissimuler son comportement et sont charg\u00e9s de distribuer la famille de logiciels malveillants FormBook.<\/p>\n En plus d’incorporer des techniques d’anti-analyse et d’anti-d\u00e9tection pour \u00e9chapper \u00e0 l’ex\u00e9cution dans une machine virtuelle ou un environnement de bac \u00e0 sable d’application, les chargeurs utilisent une version modifi\u00e9e de KoiVM qui int\u00e8gre des couches d’obscurcissement suppl\u00e9mentaires afin de rendre le d\u00e9chiffrement encore plus difficile. <\/p>\n Les chargeurs d\u00e9ploient et chargent \u00e9galement un Microsoft sign\u00e9 Explorateur de processus<\/a> pilote dans le but d’effectuer des actions avec des autorisations \u00e9lev\u00e9es. Les privil\u00e8ges, par exemple, peuvent \u00eatre utilis\u00e9s pour mettre fin \u00e0 des processus avec un logiciel de s\u00e9curit\u00e9 afin d’\u00e9viter d’\u00eatre signal\u00e9s.<\/p>\n FormBook et son successeur, XLoader, impl\u00e9mentent un large \u00e9ventail de fonctionnalit\u00e9s, telles que l’enregistrement de frappe, le vol de capture d’\u00e9cran, la collecte d’informations d’identification Web et autres, et la mise en sc\u00e8ne de logiciels malveillants suppl\u00e9mentaires.<\/p>\n Les souches de logiciels malveillants sont \u00e9galement remarquables pour camoufler leur trafic de commande et de contr\u00f4le (C2) parmi les requ\u00eates HTTP d’\u00e9cran de fum\u00e9e avec du contenu cod\u00e9 vers plusieurs domaines leurres, comme l’ont pr\u00e9c\u00e9demment r\u00e9v\u00e9l\u00e9 Zscaler et Check Point l’ann\u00e9e derni\u00e8re.<\/p>\n “En r\u00e9ponse au blocage par d\u00e9faut des macros Office par Microsoft dans les documents provenant d’Internet, les acteurs de la menace se sont tourn\u00e9s vers d’autres m\u00e9thodes de distribution de logiciels malveillants – plus r\u00e9cemment, la publicit\u00e9 malveillante”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Les chargeurs MalVirt […] d\u00e9montrent \u00e0 quel point les acteurs de la menace investissent pour \u00e9chapper \u00e0 la d\u00e9tection et contrecarrer l’analyse.”<\/p>\n Il est pertinent que la m\u00e9thode connaisse d\u00e9j\u00e0 une pic<\/a> en raison de son utilisation par d’autres acteurs criminels pour pousser les voleurs IcedID, Raccoon, Rhadamanthys et Vidar au cours des derniers mois.<\/p>\n “Il est probable qu’un acteur mena\u00e7ant ait commenc\u00e9 \u00e0 vendre des publicit\u00e9s malveillantes en tant que service sur le dark web, et il y a une forte demande”, Abuse.ch a dit<\/a> dans un rapport<\/a>soulignant une raison possible de “l’escalade”.<\/p>\n Les r\u00e9sultats arrivent deux mois apr\u00e8s K7 Security Labs bas\u00e9 en Inde d\u00e9taill\u00e9<\/a> une campagne de phishing qui exploite un chargeur .NET pour d\u00e9poser Remcos RAT et Agent Tesla au moyen d’un binaire virtualis\u00e9 KoiVM.<\/p>\n Cependant, ce ne sont pas toutes des publicit\u00e9s malveillantes, car les adversaires exp\u00e9rimentent \u00e9galement d’autres types de fichiers comme les compl\u00e9ments Excel (XLL) et les pi\u00e8ces jointes aux e-mails OneNote pour se faufiler au-del\u00e0 des p\u00e9rim\u00e8tres de s\u00e9curit\u00e9. L’utilisation des compl\u00e9ments Visual Studio Tools pour Office (VSTO) comme v\u00e9hicule d’attaque vient de rejoindre cette liste.<\/p>\n “Les compl\u00e9ments VSTO peuvent \u00eatre int\u00e9gr\u00e9s aux documents Office (VSTO local) ou, alternativement, r\u00e9cup\u00e9r\u00e9s \u00e0 partir d’un emplacement distant lorsqu’un document Office portant VSTO est ouvert (VSTO distant)”, Deep Instinct divulgu\u00e9<\/a> la semaine derni\u00e8re. “Ceci, cependant, peut n\u00e9cessiter le contournement des m\u00e9canismes de s\u00e9curit\u00e9 li\u00e9s \u00e0 la confiance.”<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1675671938_366_FormBook-Malware-se-propage-via-Malvertising-en-utilisant-MalVirt-Loader.png\")
<\/div>\n