Les acteurs de la menace \u00e0 l’origine de l’op\u00e9ration de ran\u00e7ongiciel CatB ont \u00e9t\u00e9 observ\u00e9s \u00e0 l’aide d’une technique appel\u00e9e Piratage d’ordre de recherche de DLL<\/a> pour \u00e9chapper \u00e0 la d\u00e9tection et lancer la charge utile.<\/p>\n CatB, \u00e9galement appel\u00e9 CatB99 et Baxtoy, est apparu \u00e0 la fin de l’ann\u00e9e derni\u00e8re et serait une “\u00e9volution ou un changement de marque direct” d’une autre souche de ransomware connue sous le nom de Pandora, bas\u00e9e sur des similitudes au niveau du code.<\/p>\n Il convient de noter que l’utilisation de Pandora a \u00e9t\u00e9 attribu\u00e9e \u00e0 Bronze Starlight (alias DEV-0401 ou Emperor Dragonfly), un acteur mena\u00e7ant bas\u00e9 en Chine qui est connu pour utiliser des familles de ran\u00e7ongiciels de courte dur\u00e9e comme une ruse pour dissimuler probablement ses v\u00e9ritables objectifs. <\/p>\n L’une des principales caract\u00e9ristiques d\u00e9terminantes de CatB est sa d\u00e9pendance au piratage de DLL via un service l\u00e9gitime appel\u00e9 Microsoft Distributed Transaction Coordinator (MSDTC<\/a>) pour extraire et lancer la charge utile du ransomware.<\/p>\n “Lors de l’ex\u00e9cution, les charges utiles CatB s’appuient sur le piratage de l’ordre de recherche DLL pour d\u00e9poser et charger la charge utile malveillante”, a d\u00e9clar\u00e9 Jim Walter, chercheur chez SentinelOne. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re. “Le compte-gouttes (versions.dll) d\u00e9pose la charge utile (oci.dll) dans le r\u00e9pertoire System32.”<\/p>\n Le dropper est \u00e9galement charg\u00e9 d’effectuer des v\u00e9rifications anti-analyse pour d\u00e9terminer si le logiciel malveillant est ex\u00e9cut\u00e9 dans un environnement virtuel, et finalement d’abuser du service MSDTC pour injecter le fichier oci.dll malveillant contenant le logiciel de ran\u00e7on dans l’ex\u00e9cutable msdtc.exe au red\u00e9marrage du syst\u00e8me. .<\/p>\n “Le [MSDTC] les configurations modifi\u00e9es sont le nom du compte sous lequel le service doit s’ex\u00e9cuter, qui passe de Service r\u00e9seau \u00e0 Syst\u00e8me local, et l’option de d\u00e9marrage du service, qui passe de D\u00e9marrage \u00e0 la demande \u00e0 D\u00e9marrage automatique pour la persistance en cas de red\u00e9marrage”, Minerva Labs la chercheuse Natalie Zargarov expliqu\u00e9<\/a> dans une pr\u00e9c\u00e9dente analyse.<\/p>\n Un aspect frappant du ran\u00e7ongiciel est son absence de note de ran\u00e7on. Au lieu de cela, chaque fichier crypt\u00e9 est mis \u00e0 jour avec un message invitant les victimes \u00e0 effectuer un paiement Bitcoin.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n![\"Ran\u00e7ongiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1679343284_953_Des-chercheurs-font-la-lumiere-sur-les-techniques-devasion-de.png\" "\\"Ran\u00e7ongiciel")
<\/div>\n
![\"Ran\u00e7ongiciel](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhT_3-sAA17UUdvsMtFw--uqQfLRDCyNblQCn90g0t26p85BGja2ZxKE5ACVBlUkAoBW2l8dQdDkQkgYblV4kDnEERxfYOYol25vLNTMlwXAchxzNWM4sZXHBnS-eHSoictrQrum3yJree4WIqVwO2hf3LpS-eNznDLXPm2sw2jvlEAuXcagA5NiqfM\/s728-e3650\/note.png\" "\\"Ran\u00e7ongiciel")
<\/div>\n