Une nouvelle porte d\u00e9rob\u00e9e associ\u00e9e \u00e0 un t\u00e9l\u00e9chargeur de logiciels malveillants nomm\u00e9 Wslink<\/strong> a \u00e9t\u00e9 d\u00e9couvert, avec l’outil probablement utilis\u00e9 par le c\u00e9l\u00e8bre groupe Lazarus align\u00e9 sur la Cor\u00e9e du Nord, r\u00e9v\u00e8lent de nouvelles d\u00e9couvertes.<\/p>\n La charge utile, surnomm\u00e9e WinorDLL64<\/strong> par ESET, est un implant complet qui peut exfiltrer, \u00e9craser et supprimer des fichiers\u00a0; ex\u00e9cuter des commandes PowerShell\u00a0; et obtenir des informations compl\u00e8tes sur la machine sous-jacente.<\/p>\n Ses autres fonctionnalit\u00e9s comprennent la liste des sessions actives, la cr\u00e9ation et la fin des processus, l’\u00e9num\u00e9ration des lecteurs et la compression des r\u00e9pertoires.<\/p>\n Wslink a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 en octobre 2021, le d\u00e9crivant comme un chargeur de logiciels malveillants “simple mais remarquable” capable d’ex\u00e9cuter les modules re\u00e7us en m\u00e9moire.<\/p>\n “La charge utile Wslink peut \u00eatre exploit\u00e9e plus tard pour le mouvement lat\u00e9ral, en raison de son int\u00e9r\u00eat sp\u00e9cifique pour les sessions r\u00e9seau”, a d\u00e9clar\u00e9 Vladislav Hr\u010dka, chercheur chez ESET. a dit<\/a>. “Le chargeur Wslink \u00e9coute sur un port sp\u00e9cifi\u00e9 dans la configuration et peut servir des clients de connexion suppl\u00e9mentaires, et m\u00eame charger diverses charges utiles.”<\/p>\n Les intrusions utilisant le logiciel malveillant seraient tr\u00e8s cibl\u00e9es car seules quelques d\u00e9tections ont \u00e9t\u00e9 observ\u00e9es \u00e0 ce jour en Europe centrale, en Am\u00e9rique du Nord et au Moyen-Orient.<\/p>\n En mars 2022, ESET a \u00e9labor\u00e9 sur l’utilisation par le malware d’une “machine virtuelle multicouche avanc\u00e9e” obfuscateur<\/a> pour \u00e9chapper \u00e0 la d\u00e9tection et r\u00e9sister \u00e0 l’ing\u00e9nierie inverse.<\/p>\n Les liens vers le groupe Lazarus proviennent de chevauchements de comportement et de code avec ceux des campagnes pr\u00e9c\u00e9dentes – Op\u00e9ration GhostSecret<\/a> et Coup de banque<\/a> \u2013 qui ont \u00e9t\u00e9 attribu\u00e9s \u00e0 la menace persistante avanc\u00e9e.<\/p>\n Cela inclut des similitudes avec les \u00e9chantillons GhostSecret d\u00e9taill\u00e9s par McAfee en 2018, qui sont livr\u00e9s avec un “composant de collecte de donn\u00e9es et d’installation d’implants” qui s’ex\u00e9cute en tant que service, refl\u00e9tant le m\u00eame comportement que Wslink.<\/p>\n![\"Groupe](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1677193057_191_Le-groupe-Lazarus-utilise-probablement-la-nouvelle-porte-derobee-WinorDLL64.png\" "\\"Groupe")
<\/div>\n