Un pirate inconnu a utilis\u00e9 une archive auto-extractible malveillante (Effets sp\u00e9ciaux<\/a>) fichier dans le but d’\u00e9tablir un acc\u00e8s par porte d\u00e9rob\u00e9e persistant \u00e0 l’environnement d’une victime, selon les nouvelles d\u00e9couvertes de CrowdStrike.<\/p>\n Les fichiers SFX sont capables d’extraire les donn\u00e9es qu’ils contiennent sans avoir besoin d’un logiciel d\u00e9di\u00e9 pour afficher le contenu du fichier. Il y parvient en incluant un stub de d\u00e9compresseur, un morceau de code qui est ex\u00e9cut\u00e9 pour d\u00e9compresser l’archive.<\/p>\n “Cependant, les fichiers d’archives SFX peuvent \u00e9galement contenir des fonctionnalit\u00e9s malveillantes cach\u00e9es qui peuvent ne pas \u00eatre imm\u00e9diatement visibles pour le destinataire du fichier et pourraient \u00eatre manqu\u00e9es par les seules d\u00e9tections bas\u00e9es sur la technologie”, a d\u00e9clar\u00e9 Jai Minton, chercheur chez CrowdStrike. a dit<\/a>.<\/p>\n Dans le cas \u00e9tudi\u00e9 par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, des informations d’identification compromises sur un syst\u00e8me ont \u00e9t\u00e9 utilis\u00e9es pour ex\u00e9cuter une application d’accessibilit\u00e9 Windows l\u00e9gitime appel\u00e9e Utility Manager (utilman.exe), puis lancer un fichier SFX prot\u00e9g\u00e9 par mot de passe.<\/p>\n Ceci, \u00e0 son tour, est rendu possible par configuration d’un d\u00e9bogueur<\/a> (un autre ex\u00e9cutable) dans le registre Windows \u00e0 un programme sp\u00e9cifique (dans ce cas, utilman.exe) afin que le d\u00e9bogueur soit automatiquement lanc\u00e9 \u00e0 chaque lancement du programme.<\/p>\n L’abus d’utilman.exe est \u00e9galement remarquable car il peut \u00eatre lanc\u00e9 directement<\/a> \u00e0 partir de l’\u00e9cran de connexion Windows en utilisant le Touche de logo Windows + raccourci clavier U<\/a>permettant potentiellement aux pirates de configurer des portes d\u00e9rob\u00e9es via la cl\u00e9 de registre Image File Execution Options.<\/p>\n “Une inspection plus approfondie de l’archive SFX a r\u00e9v\u00e9l\u00e9 qu’elle fonctionne comme une porte d\u00e9rob\u00e9e prot\u00e9g\u00e9e par un mot de passe en abusant des options de configuration de WinRAR plut\u00f4t que de contenir des logiciels malveillants”, a expliqu\u00e9 Minton. <\/p>\n Plus pr\u00e9cis\u00e9ment, le fichier est con\u00e7u pour ex\u00e9cuter PowerShell (powershell.exe), l’invite de commande (cmd.exe) et le gestionnaire de t\u00e2ches (taskmgr.exe) avec les privil\u00e8ges NT AUTHORITYSYSTEM en fournissant le bon mot de passe \u00e0 l’archive.<\/p>\n “Ce type d’attaque est susceptible de ne pas \u00eatre d\u00e9tect\u00e9 par les logiciels antivirus traditionnels qui recherchent des logiciels malveillants \u00e0 l’int\u00e9rieur d’une archive (qui est souvent \u00e9galement prot\u00e9g\u00e9e par un mot de passe) plut\u00f4t que le comportement d’un stub de d\u00e9compresseur d’archive SFX”, a ajout\u00e9 Minton.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Ce n’est pas la premi\u00e8re fois que des fichiers SFX sont utilis\u00e9s dans des attaques comme moyen pour les attaquants de ne pas \u00eatre d\u00e9tect\u00e9s. En septembre 2022, Kaspersky a divulgu\u00e9 une campagne de logiciels malveillants qui utilisait des liens vers de tels fichiers prot\u00e9g\u00e9s par mot de passe pour propager<\/a> Voleur RedLine<\/a>.<\/p>\n Un mois plus tard, le tristement c\u00e9l\u00e8bre botnet Emotet a \u00e9t\u00e9 observ\u00e9 en train d’envoyer une archive SFX qui, une fois ouverte par un utilisateur, extrayait automatiquement une deuxi\u00e8me archive SFX prot\u00e9g\u00e9e par mot de passe, saisissait le mot de passe et ex\u00e9cutait son contenu sans autre interaction de l’utilisateur \u00e0 l’aide d’un script batch. .<\/p>\n Pour att\u00e9nuer les menaces pos\u00e9es par ce vecteur d’attaque, il est recommand\u00e9 d’analyser les archives SFX \u00e0 l’aide d’un logiciel de d\u00e9sarchivage afin d’identifier tout script ou binaire potentiel configur\u00e9 pour extraire et s’ex\u00e9cuter lors de l’ex\u00e9cution.<\/p>\n <\/p>\n![\"Archives](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680714541_640_Les-pirates-utilisent-des-archives-auto-extractibles-pour-des-attaques-furtives.png\" "\\"Archives")
<\/div>\n