Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un nouveau rootkit sign\u00e9 par Microsoft qui est con\u00e7u pour communiquer avec une infrastructure d’attaque contr\u00f4l\u00e9e par des acteurs.<\/p>\n
Trend Micro a attribu\u00e9 le cluster d’activit\u00e9s au m\u00eame acteur qui avait \u00e9t\u00e9 pr\u00e9c\u00e9demment identifi\u00e9 comme \u00e9tant \u00e0 l’origine du rootkit FiveSys, qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 en octobre 2021.<\/p>\n
“Cet acteur malveillant est originaire de Chine et ses principales victimes sont le secteur du jeu en Chine”, ont d\u00e9clar\u00e9 Mahmoud Zohdy, Sherif Magdy et Mohamed Fahmy de Trend Micro. a dit<\/a>. Leur logiciel malveillant semble \u00eatre pass\u00e9 par les laboratoires de qualit\u00e9 mat\u00e9rielle de Windows (WHQL<\/a>) processus d’obtention d’une signature valide.<\/p>\n Plusieurs variantes du rootkit couvrant huit clusters diff\u00e9rents ont \u00e9t\u00e9 d\u00e9couvertes, avec 75 pilotes de ce type sign\u00e9s \u00e0 l’aide du programme WHQL de Microsoft en 2022 et 2023.<\/p>\n L’analyse par Trend Micro de certains des \u00e9chantillons a r\u00e9v\u00e9l\u00e9 la pr\u00e9sence de messages de d\u00e9bogage dans le code source, indiquant que l’op\u00e9ration est toujours en phase de d\u00e9veloppement et de test.<\/p>\n Dans les \u00e9tapes suivantes, le pilote de premi\u00e8re \u00e9tape d\u00e9sactive le contr\u00f4le de compte d’utilisateur (UAC<\/a>) et Mode bureau s\u00e9curis\u00e9<\/a> en \u00e9ditant le registre et initialise Winsock Kernel (WSK<\/a>) objets pour initier la communication r\u00e9seau avec le serveur distant.<\/p>\n Il interroge en outre p\u00e9riodiquement le serveur pour r\u00e9cup\u00e9rer plus de charges utiles et les charger directement dans la m\u00e9moire apr\u00e8s avoir d\u00e9cod\u00e9 et d\u00e9chiffr\u00e9 les donn\u00e9es re\u00e7ues, fonctionnant efficacement comme un chargeur de pilote de noyau furtif qui peut contourner les d\u00e9tections.<\/p>\n “Le binaire principal agit comme un chargeur universel qui permet aux attaquants de charger directement un module de noyau non sign\u00e9 de deuxi\u00e8me \u00e9tape”, ont expliqu\u00e9 les chercheurs. “Chaque plug-in de deuxi\u00e8me \u00e9tape est personnalis\u00e9 en fonction de la machine victime sur laquelle il est d\u00e9ploy\u00e9, certains contenant m\u00eame un pilote compil\u00e9 personnalis\u00e9 pour chaque machine. Chaque plug-in a un ensemble sp\u00e9cifique d’actions \u00e0 effectuer \u00e0 partir de l’espace noyau.”<\/p>\n Les plug-ins, pour leur part, sont dot\u00e9s de diff\u00e9rentes capacit\u00e9s pour atteindre la persistance, d\u00e9sarmer Microsoft Defender Antivirus, d\u00e9ployer un proxy sur la machine et rediriger le trafic de navigation Web vers un serveur proxy distant.<\/p>\n Tout comme FiveSys, les nouvelles d\u00e9tections de rootkits ont \u00e9t\u00e9 confin\u00e9es exclusivement \u00e0 la Chine. L’un des points d’entr\u00e9e suspect\u00e9s de ces infections serait un jeu chinois contenant un cheval de Troie, refl\u00e9tant la d\u00e9couverte par Cisco Talos d’un pilote malveillant appel\u00e9 RedDriver.<\/p>\n Les r\u00e9sultats concordent avec d’autres rapports de Cisco Talos et Sophos sur l’utilisation de pilotes en mode noyau malveillants sign\u00e9s par Microsoft pour les activit\u00e9s de post-exploitation, les acteurs de la menace parlant chinois utilisant des logiciels open source populaires au sein de la communaut\u00e9 de d\u00e9veloppement de triche de jeux vid\u00e9o pour contourner restrictions impos\u00e9es par le g\u00e9ant de la technologie.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n![\"Rootkit](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689194557_718_Des-pirates-chinois-deploient-un-rootkit-signe-Microsoft-pour-cibler.jpg\" "\\"Rootkit")
<\/div>\n