Une nouvelle campagne de phishing portant le nom de code MULTI#TEMP\u00caTE<\/strong> a jet\u00e9 son d\u00e9volu sur l’Inde et les \u00c9tats-Unis en exploitant des fichiers JavaScript pour fournir des chevaux de Troie d’acc\u00e8s \u00e0 distance sur des syst\u00e8mes compromis.<\/p>\n “La cha\u00eene d’attaque se termine avec la machine victime infect\u00e9e par plusieurs instances uniques de logiciels malveillants RAT (cheval de Troie d’acc\u00e8s \u00e0 distance), tels que Warzone RAT et Quasar RAT”, ont d\u00e9clar\u00e9 les chercheurs de Securonix, Den Iuzvyk, Tim Peck et Oleg Kolesnikov. a dit<\/a>.<\/p>\n “Les deux sont utilis\u00e9s pour le commandement et le contr\u00f4le \u00e0 diff\u00e9rentes \u00e9tapes de la cha\u00eene d’infection.”<\/p>\n La cha\u00eene d’attaque en plusieurs \u00e9tapes commence lorsqu’un destinataire d’e-mail clique sur le lien int\u00e9gr\u00e9 pointant vers un fichier ZIP prot\u00e9g\u00e9 par mot de passe (“REQUEST.zip”) h\u00e9berg\u00e9 sur Microsoft OneDrive avec le mot de passe “12345”.<\/p>\n L’extraction du fichier d’archive r\u00e9v\u00e8le un fichier JavaScript fortement obscurci (“REQUEST.js”) qui, lorsqu’il est double-cliqu\u00e9, active l’infection en ex\u00e9cutant deux commandes PowerShell charg\u00e9es de r\u00e9cup\u00e9rer deux charges utiles distinctes de OneDrive et de les ex\u00e9cuter.<\/p>\n Le premier des deux fichiers est un document PDF leurre qui est affich\u00e9 \u00e0 la victime tandis que le second fichier, un ex\u00e9cutable bas\u00e9 sur Python, est ex\u00e9cut\u00e9 furtivement en arri\u00e8re-plan.<\/p>\n Le binaire agit comme un compte-gouttes pour extraire et ex\u00e9cuter la charge utile principale emball\u00e9e \u00e0 l’int\u00e9rieur sous la forme de cha\u00eenes encod\u00e9es en Base64 (“Storm.exe”), mais pas avant de configurer la persistance via la modification du registre Windows.<\/p>\n \u00c9galement d\u00e9cod\u00e9 par le binaire se trouve un deuxi\u00e8me fichier ZIP (“files.zip”) qui contient quatre fichiers diff\u00e9rents, chacun \u00e9tant con\u00e7u pour contourner le contr\u00f4le de compte d’utilisateur (UAC<\/a>) et \u00e9lever les privil\u00e8ges en cr\u00e9ant des r\u00e9pertoires de confiance factices.<\/p>\n Parmi les fichiers se trouve un fichier batch (“check.bat”) qui, selon Securonix, partage plusieurs points communs avec un autre chargeur appel\u00e9 DBatLoader malgr\u00e9 la diff\u00e9rence de langage de programmation utilis\u00e9.<\/p>\n Un deuxi\u00e8me fichier nomm\u00e9 “KDECO.bat” ex\u00e9cute une commande PowerShell pour demander \u00e0 Microsoft Defender d’ajouter un r\u00e8gle d’exclusion antivirus<\/a> pour ignorer le r\u00e9pertoire “C:Users”.<\/p>\n L’attaque culmine avec le d\u00e9ploiement de Warzone RAT (alias Ave Maria), un malware pr\u00eat \u00e0 l’emploi qui est disponible \u00e0 la vente pour 38 $ par mois et est livr\u00e9 avec une liste exhaustive de fonctionnalit\u00e9s pour r\u00e9colter des donn\u00e9es sensibles et t\u00e9l\u00e9charger des logiciels malveillants suppl\u00e9mentaires tels que Quasar RAT .<\/p>\n “Il est important de rester extr\u00eamement vigilant en ce qui concerne les e-mails de phishing, en particulier lorsqu’un sentiment d’urgence est soulign\u00e9”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Ce leurre particulier \u00e9tait g\u00e9n\u00e9ralement banal car il obligerait l’utilisateur \u00e0 ex\u00e9cuter directement un fichier JavaScript. Les fichiers de raccourcis ou les fichiers utilisant des doubles extensions auraient probablement un taux de r\u00e9ussite plus \u00e9lev\u00e9.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1685947184_392_Magento-WooCommerce-WordPress-et-Shopify-exploites-dans-une-attaque-Web.jpg\")
<\/a><\/center><\/div>\n![\"Chevaux](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1687458632_854_La-campagne-MULTISTORM-cible-lInde-et-les-Etats-Unis-avec-des.jpg\" "\\"Chevaux")
<\/div>\n