Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 le fonctionnement interne d’un chargeur tr\u00e8s \u00e9vasif nomm\u00e9 “in2al5d p3in4er<\/strong>” (lire\u00a0: imprimante invalide) qui est utilis\u00e9 pour livrer le malware voleur d’informations Aurora.<\/p>\n “Le chargeur in2al5d p3in4er est compil\u00e9 avec Embarcadero RAD Studio<\/a> et cible les postes de travail des terminaux \u00e0 l’aide d’une technique anti-VM (machine virtuelle) avanc\u00e9e \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Morphisec. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Aurora est un voleur d’informations bas\u00e9 sur Go qui a \u00e9merg\u00e9 dans le paysage des menaces \u00e0 la fin de 2022. Propos\u00e9 en tant que malware de base \u00e0 d’autres acteurs, il est distribu\u00e9 via des vid\u00e9os YouTube et des sites Web de t\u00e9l\u00e9chargement de logiciels pirat\u00e9s et de faux logiciels de r\u00e9f\u00e9rencement.<\/p>\n Cliquer sur les liens pr\u00e9sents dans les descriptions de vid\u00e9os YouTube redirige la victime vers des sites Web leurres o\u00f9 elle est incit\u00e9e \u00e0 t\u00e9l\u00e9charger le logiciel malveillant sous le couvert d’un utilitaire apparemment l\u00e9gitime.<\/p>\n Le chargeur analys\u00e9 par Morphisec est con\u00e7u pour interroger l’ID du fournisseur de la carte graphique install\u00e9e sur un syst\u00e8me et le comparer \u00e0 un ensemble d’ID de fournisseurs autoris\u00e9s (AMD, Intel ou NVIDIA). Si la valeur ne correspond pas, le chargeur se termine de lui-m\u00eame.<\/p>\n Le chargeur d\u00e9crypte finalement la charge utile finale et l’injecte dans un processus l\u00e9gitime appel\u00e9 “sihost.exe” en utilisant une technique appel\u00e9e processus d’\u00e9videment<\/a>. Alternativement, certains exemples de chargeur allouent \u00e9galement de la m\u00e9moire pour \u00e9crire la charge utile d\u00e9chiffr\u00e9e et l’invoquer \u00e0 partir de l\u00e0.<\/p>\n “Pendant le processus d’injection, tous les exemples de chargeur r\u00e9solvent dynamiquement les API Win n\u00e9cessaires et d\u00e9chiffrent ces noms \u00e0 l’aide d’une cl\u00e9 XOR\u00a0:” in2al5d p3in4er “”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Arnold Osipov et Michael Dereviashkin.<\/p>\n Un autre aspect crucial du chargeur est son utilisation d’Embarcadero RAD Studio pour g\u00e9n\u00e9rer des ex\u00e9cutables pour plusieurs plates-formes, lui permettant ainsi d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n “Ceux qui ont le taux de d\u00e9tection le plus bas sur VirusTotal sont compil\u00e9s \u00e0 l’aide de” BCC64.exe “, un nouveau compilateur C++ bas\u00e9 sur Clang d’Embarcadero”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9, soulignant sa capacit\u00e9 \u00e0 \u00e9chapper aux bacs \u00e0 sable et aux machines virtuelles.<\/p>\n “Ce compilateur utilise une base de code diff\u00e9rente telle que ‘Standard Library’ (Dinkumware) et ‘Runtime Library’ (compiler-rt) et g\u00e9n\u00e8re un code optimis\u00e9 qui modifie le point d’entr\u00e9e et le flux d’ex\u00e9cution. Cela brise les indicateurs des fournisseurs de s\u00e9curit\u00e9, tels que les signatures compos\u00e9 \u00e0 partir d’un “bloc de code malveillant\/suspect”.”<\/p>\n D\u00e9fendre avec tromperie\u00a0: Faire progresser la s\u00e9curit\u00e9 Zero Trust<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n En un mot, les r\u00e9sultats montrent que les acteurs de la menace derri\u00e8re in2al5d p3in4er exploitent des m\u00e9thodes d’ing\u00e9nierie sociale pour une campagne \u00e0 fort impact qui utilise YouTube comme canal de distribution de logiciels malveillants et dirige les t\u00e9l\u00e9spectateurs vers de faux sites Web convaincants pour distribuer le logiciel malveillant voleur.<\/p>\n Le d\u00e9veloppement intervient alors qu’Intel 471 a d\u00e9terr\u00e9 un autre chargeur de logiciels malveillants AresLoader<\/a> qui est commercialis\u00e9 pour 300 $\/mois en tant que service permettant aux acteurs criminels de pousser les voleurs d’informations d\u00e9guis\u00e9s en logiciels populaires \u00e0 l’aide d’un outil de classeur. Le chargeur est soup\u00e7onn\u00e9 d’avoir \u00e9t\u00e9 d\u00e9velopp\u00e9 par un groupe li\u00e9 au hacktivisme russe.<\/p>\n Certaines des principales familles de logiciels malveillants diffus\u00e9es \u00e0 l’aide d’AresLoader depuis janvier 2023 incluent Aurora Stealer, Laplas Clipper, Lumma Stealer, Stealc et SystemBC.<\/p>\n <\/p>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/Videos-YouTube-distribuant-les-logiciels-malveillants-Aurora-Stealer-via-un.jpg\" "\\"Logiciel")
<\/div>\n