Les personnes de langue chinoise en Asie du Sud-Est et de l’Est sont les cibles d’une nouvelle campagne Google Ads malveillante qui fournit des chevaux de Troie d’acc\u00e8s \u00e0 distance tels que FatalRAT aux machines compromises.<\/p>\n
Les attaques impliquent l’achat d’espaces publicitaires pour appara\u00eetre dans les r\u00e9sultats de recherche Google qui dirigent les utilisateurs \u00e0 la recherche d’applications populaires vers des sites Web malveillants h\u00e9bergeant des installateurs troyens, a d\u00e9clar\u00e9 ESET dans un rapport publi\u00e9 aujourd’hui. Les publicit\u00e9s ont depuis \u00e9t\u00e9 supprim\u00e9es.<\/p>\n
Certaines des applications usurp\u00e9es incluent Google Chrome, Mozilla Firefox, Telegram, WhatsApp, LINE, Signal, Skype, Electrum, Sogou Pinyin Method, Youdao et WPS Office.<\/p>\n
“Les sites Web et les installateurs t\u00e9l\u00e9charg\u00e9s \u00e0 partir de ceux-ci sont pour la plupart en chinois et, dans certains cas, proposent \u00e0 tort des versions en langue chinoise de logiciels qui ne sont pas disponibles en Chine”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9. a dit<\/a>ajoutant avoir observ\u00e9 les attentats entre ao\u00fbt 2022 et janvier 2023.<\/p>\n La majorit\u00e9 des victimes se trouvent \u00e0 Ta\u00efwan, en Chine et \u00e0 Hong Kong, suivis de la Malaisie, du Japon, des Philippines, de la Tha\u00eflande, de Singapour, de l’Indon\u00e9sie et du Myanmar.<\/p>\n L’aspect le plus important des attaques est la cr\u00e9ation de sites Web similaires avec des domaines typosquatt\u00e9s pour propager l’installateur malveillant, qui, dans une tentative de maintenir la ruse, installe le logiciel l\u00e9gitime, mais laisse \u00e9galement tomber un chargeur qui d\u00e9ploie FatalRAT.<\/p>\n Ce faisant, il accorde \u00e0 l’attaquant le contr\u00f4le complet de l’ordinateur victime, y compris l’ex\u00e9cution de commandes shell arbitraires, l’ex\u00e9cution de fichiers, la collecte de donn\u00e9es \u00e0 partir de navigateurs Web et la capture de frappes.<\/p>\n “Les attaquants ont d\u00e9ploy\u00e9 des efforts concernant les noms de domaine utilis\u00e9s pour leurs sites Web, essayant d’\u00eatre aussi similaires que possible aux noms officiels”, ont d\u00e9clar\u00e9 les chercheurs. “Les faux sites Web sont, dans la plupart des cas, des copies identiques des sites l\u00e9gitimes.”<\/p>\n Les r\u00e9sultats arrivent moins d’un an apr\u00e8s que Trend Micro a divulgu\u00e9 une campagne Purple Fox qui a tir\u00e9 parti des progiciels corrompus Adobe, Google Chrome, Telegram et WhatsApp comme vecteur d’arriv\u00e9e pour propager FatalRAT.<\/p>\n Ils arrivent \u00e9galement au milieu d’un abus plus large de Google Ads pour servir un large \u00e9ventail de logiciels malveillants, ou alternativement, diriger les utilisateurs vers des pages de phishing d’informations d’identification.<\/p>\n Dans un d\u00e9veloppement connexe, l’\u00e9quipe Threat Hunter de Symantec a mis en lumi\u00e8re une autre campagne de logiciels malveillants qui cible des entit\u00e9s \u00e0 Ta\u00efwan avec un implant .NET pr\u00e9c\u00e9demment non document\u00e9 appel\u00e9 Frebniis.<\/p>\n “La technique utilis\u00e9e par Frebniis consiste \u00e0 injecter du code malveillant dans la m\u00e9moire d’un fichier DLL (iisfreb.dll) li\u00e9 \u00e0 une fonctionnalit\u00e9 IIS utilis\u00e9e pour d\u00e9panner et analyser les requ\u00eates de pages Web ayant \u00e9chou\u00e9”, Symantec a dit<\/a>.<\/p>\n “Cela permet au logiciel malveillant de surveiller furtivement toutes les requ\u00eates HTTP et de reconna\u00eetre les requ\u00eates HTTP sp\u00e9cialement format\u00e9es envoy\u00e9es par l’attaquant, permettant l’ex\u00e9cution de code \u00e0 distance.”<\/p>\n La firme de cybers\u00e9curit\u00e9, qui a attribu\u00e9 l’intrusion \u00e0 un acteur inconnu, a d\u00e9clar\u00e9 qu’on ne sait pas actuellement comment l’acc\u00e8s \u00e0 la machine Windows ex\u00e9cutant le serveur Internet Information Services (IIS) a \u00e9t\u00e9 obtenu.<\/p>\n <\/p>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676565172_806_Les-pirates-utilisent-Google-Ads-pour-diffuser-les-logiciels-malveillants.png\" "\\"Logiciel")
<\/div>\n