Les entreprises op\u00e9rant en Am\u00e9rique latine (LATAM) sont la cible d’un nouveau cheval de Troie bancaire bas\u00e9 sur Windows appel\u00e9 TOITOIN<\/strong> depuis mai 2023.<\/p>\n “Cette campagne sophistiqu\u00e9e utilise un cheval de Troie qui suit une cha\u00eene d’infection en plusieurs \u00e9tapes, utilisant des modules sp\u00e9cialement con\u00e7us \u00e0 chaque \u00e9tape”, ont d\u00e9clar\u00e9 les chercheurs de Zscaler Niraj Shivtarkar et Preet Kamal. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Ces modules sont con\u00e7us sur mesure pour mener des activit\u00e9s malveillantes, telles que l’injection de code nuisible dans des processus distants, le contournement du contr\u00f4le de compte d’utilisateur via COM Elevation Moniker et l’\u00e9vitement de la d\u00e9tection par les Sandbox gr\u00e2ce \u00e0 des techniques intelligentes telles que les red\u00e9marrages du syst\u00e8me et les v\u00e9rifications des processus parents.”<\/p>\n L’effort en six \u00e9tapes pr\u00e9sente toutes les caract\u00e9ristiques d’une s\u00e9quence d’attaque bien con\u00e7ue, en commen\u00e7ant par un e-mail de phishing contenant un lien int\u00e9gr\u00e9 qui pointe vers une archive ZIP h\u00e9berg\u00e9e sur une instance Amazon EC2 pour \u00e9chapper aux d\u00e9tections bas\u00e9es sur le domaine.<\/p>\n Les e-mails exploitent un leurre sur le th\u00e8me de la facture pour inciter les destinataires involontaires \u00e0 les ouvrir, activant ainsi l’infection. Dans l’archive ZIP se trouve un ex\u00e9cutable de t\u00e9l\u00e9chargement con\u00e7u pour configurer la persistance au moyen d’un fichier LNK dans le dossier de d\u00e9marrage de Windows et communiquer avec un serveur distant pour r\u00e9cup\u00e9rer six charges utiles de l’\u00e9tape suivante sous la forme de fichiers MP3.<\/p>\n Le t\u00e9l\u00e9chargeur est \u00e9galement charg\u00e9 de g\u00e9n\u00e9rer un script batch qui red\u00e9marre le syst\u00e8me apr\u00e8s un d\u00e9lai de 10 secondes. Ceci est fait de mani\u00e8re \u00e0 “\u00e9chapper \u00e0 la d\u00e9tection du bac \u00e0 sable puisque les actions malveillantes ne se produisent qu’apr\u00e8s le red\u00e9marrage”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Parmi les charges utiles r\u00e9cup\u00e9r\u00e9es se trouve “icepdfeditor.exe”, un binaire sign\u00e9 valide par ZOHO Corporation Private Limited, qui, lorsqu’il est ex\u00e9cut\u00e9, charge une DLL escroc (“ffmpeg.dll”) dont le nom de code est Krita Loader.<\/p>\n Le chargeur, pour sa part, est con\u00e7u pour d\u00e9coder un fichier JPG t\u00e9l\u00e9charg\u00e9 avec les autres charges utiles et lancer un autre ex\u00e9cutable appel\u00e9 module InjectorDLL qui inverse un deuxi\u00e8me fichier JPG pour former ce qu’on appelle le module ElevateInjectorDLL.<\/p>\n Le composant InjectorDLL se d\u00e9place ensuite pour injecter ElevateInjectorDLL dans le processus “explorer.exe”, apr\u00e8s quoi un contr\u00f4le de compte d’utilisateur (UAC<\/a>) un contournement est effectu\u00e9, si n\u00e9cessaire, pour \u00e9lever les privil\u00e8ges du processus et le cheval de Troie TOITOIN est d\u00e9chiffr\u00e9 et inject\u00e9 dans le processus “svchost.exe”.<\/p>\n \ud83d\udd10 PAM Security \u2013 Des solutions expertes pour s\u00e9curiser vos comptes sensibles<\/p>\n <\/a><\/p>\n Ce webinaire dirig\u00e9 par des experts vous fournira les connaissances et les strat\u00e9gies dont vous avez besoin pour transformer votre strat\u00e9gie de s\u00e9curit\u00e9 des acc\u00e8s privil\u00e9gi\u00e9s.<\/p>\n R\u00e9servez votre place<\/a><\/section>\n “Cette technique permet au logiciel malveillant de manipuler les fichiers syst\u00e8me et d’ex\u00e9cuter des commandes avec des privil\u00e8ges \u00e9lev\u00e9s, facilitant ainsi d’autres activit\u00e9s malveillantes”, ont expliqu\u00e9 les chercheurs.<\/p>\n TOITOIN est livr\u00e9 avec des capacit\u00e9s pour collecter des informations syst\u00e8me ainsi que des donn\u00e9es \u00e0 partir de navigateurs Web install\u00e9s tels que Google Chrome, Microsoft Edge et Internet Explorer, Mozilla Firefox et Opera. De plus, il v\u00e9rifie la pr\u00e9sence de Topaz Online Fraud Detection (OFD), un module anti-fraude<\/a> int\u00e9gr\u00e9s aux plateformes bancaires de la r\u00e9gion LATAM.<\/p>\n La nature des r\u00e9ponses du serveur de commande et de contr\u00f4le (C2) n’est actuellement pas connue du fait que le serveur n’est plus disponible.<\/p>\n “Gr\u00e2ce \u00e0 des e-mails de phishing trompeurs, \u00e0 des m\u00e9canismes de redirection complexes et \u00e0 la diversification des domaines, les acteurs de la menace livrent avec succ\u00e8s leur charge utile malveillante”, ont d\u00e9clar\u00e9 les chercheurs. “La cha\u00eene d’infection \u00e0 plusieurs \u00e9tapes observ\u00e9e dans cette campagne implique l’utilisation de modules d\u00e9velopp\u00e9s sur mesure qui emploient diverses techniques d’\u00e9vasion et m\u00e9thodes de cryptage.”<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689010596_727_Nouveau-cheval-de-Troie-bancaire-TOITOIN-ciblant-les-entreprises-latino-americaines.jpg\")
<\/div>\n