Une nouvelle souche de malware connue sous le nom de BundleBot <\/b>a op\u00e9r\u00e9 furtivement sous le radar en profitant de Techniques de d\u00e9ploiement de fichier unique .NET<\/a>permettant aux acteurs de la menace de capturer des informations sensibles provenant d’h\u00f4tes compromis.<\/p>\n “BundleBot abuse du paquet dotnet (fichier unique), format autonome qui entra\u00eene une d\u00e9tection statique tr\u00e8s faible ou nulle”, Check Point a dit<\/a> dans un rapport publi\u00e9 cette semaine, ajoutant qu’il est “couramment distribu\u00e9 via des publicit\u00e9s Facebook et des comptes compromis menant \u00e0 des sites Web se faisant passer pour des utilitaires de programmes r\u00e9guliers, des outils d’IA et des jeux”.<\/p>\n Certains de ces sites Web visent \u00e0 imiter Google Bard, le chatbot d’intelligence artificielle g\u00e9n\u00e9rative conversationnelle de l’entreprise, incitant les victimes \u00e0 t\u00e9l\u00e9charger une fausse archive RAR (“Google_AI.rar”) h\u00e9berg\u00e9e sur des services de stockage en nuage l\u00e9gitimes tels que Dropbox.<\/p>\n Le fichier d’archive, une fois d\u00e9compress\u00e9, contient un fichier ex\u00e9cutable (“GoogleAI.exe”), qui est l’application autonome \u00e0 fichier unique .NET (“GoogleAI.exe”) qui, \u00e0 son tour, incorpore un fichier DLL (“GoogleAI.dll”), dont la responsabilit\u00e9 est de r\u00e9cup\u00e9rer une archive ZIP prot\u00e9g\u00e9e par mot de passe \u00e0 partir de Google Drive.<\/p>\n Le contenu extrait du fichier ZIP (“ADSNEW-1.0.0.3.zip”) est une autre application autonome \u00e0 fichier unique .NET (“RiotClientServices.exe”) qui int\u00e8gre la charge utile BundleBot (“RiotClientServices.dll”) et un s\u00e9rialiseur de donn\u00e9es de paquets de commande et de contr\u00f4le (C2) (“LirarySharing.dll”).<\/p>\n “L’assembly RiotClientServices.dll est un nouveau voleur\/bot personnalis\u00e9 qui utilise la biblioth\u00e8que LirarySharing.dll pour traiter et s\u00e9rialiser les donn\u00e9es de paquets qui sont envoy\u00e9es \u00e0 C2 dans le cadre de la communication du bot”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9.<\/p>\n Les artefacts binaires utilisent une obfuscation et un code ind\u00e9sirable sur mesure dans le but de r\u00e9sister \u00e0 l’analyse, et sont dot\u00e9s de capacit\u00e9s pour siphonner les donn\u00e9es des navigateurs Web, capturer des captures d’\u00e9cran, r\u00e9cup\u00e9rer des jetons Discord, des informations de Telegram et des d\u00e9tails de compte Facebook.<\/p>\n Check Point a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9tect\u00e9 un deuxi\u00e8me \u00e9chantillon BundleBot qui est pratiquement identique \u00e0 tous \u00e9gards, \u00e0 l’exception de l’utilisation de HTTPS pour exfiltrer les informations vers un serveur distant sous la forme d’une archive ZIP.<\/p>\n “La m\u00e9thode de livraison via les publicit\u00e9s Facebook et les comptes compromis est quelque chose qui a \u00e9t\u00e9 abus\u00e9 par les acteurs de la menace pendant un certain temps, la combinant toujours avec l’une des capacit\u00e9s du logiciel malveillant r\u00e9v\u00e9l\u00e9 (pour voler les informations du compte Facebook d’une victime) pourrait servir de routine d’auto-alimentation d\u00e9licate”, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n Le d\u00e9veloppement vient comme Malwarebytes d\u00e9couvert<\/a> une nouvelle campagne qui utilise des publications sponsoris\u00e9es et des comptes v\u00e9rifi\u00e9s compromis qui se font passer pour Facebook Ads Manager pour inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger des extensions Google Chrome malveillantes con\u00e7ues pour voler les informations de connexion \u00e0 Facebook.<\/p>\n Les utilisateurs qui cliquent sur le lien int\u00e9gr\u00e9 sont invit\u00e9s \u00e0 t\u00e9l\u00e9charger un fichier d’archive RAR contenant un fichier d’installation MSI qui, pour sa part, lance un script batch pour g\u00e9n\u00e9rer une nouvelle fen\u00eatre Google Chrome avec l’extension malveillante charg\u00e9e \u00e0 l’aide du drapeau “–load-extension” –<\/p>\n d\u00e9marrer chrome.exe –load-extension=”%~dp0\/nmmhkkegccagdldgiimedpiccmgmiedagg4″ “https:\/\/www.facebook.com\/business\/tools\/ads-manager”<\/em><\/p><\/blockquote>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n “Cette extension personnalis\u00e9e est intelligemment d\u00e9guis\u00e9e en Google Translate et est consid\u00e9r\u00e9e comme” d\u00e9compress\u00e9e “car elle a \u00e9t\u00e9 charg\u00e9e \u00e0 partir de l’ordinateur local, plut\u00f4t que du Chrome Web Store”, a expliqu\u00e9 J\u00e9r\u00f4me Segura, directeur du renseignement sur les menaces chez Malwarebytes, notant qu’elle est “enti\u00e8rement concentr\u00e9e sur Facebook et r\u00e9cup\u00e8re des informations importantes qui pourraient permettre \u00e0 un attaquant de se connecter \u00e0 des comptes”.<\/p>\n Les donn\u00e9es captur\u00e9es sont ensuite envoy\u00e9es \u00e0 l’aide de l’API Google Analytics pour contourner les politiques de s\u00e9curit\u00e9 du contenu (CSP<\/a>) pour att\u00e9nuer les attaques par script intersite (XSS) et par injection de donn\u00e9es.<\/p>\n Les acteurs de la menace \u00e0 l’origine de l’activit\u00e9 sont soup\u00e7onn\u00e9s d’\u00eatre d’origine vietnamienne, qui ont, ces derniers mois, manifest\u00e9 un vif int\u00e9r\u00eat \u00e0 cibler les comptes commerciaux et publicitaires de Facebook. Plus de 800 victimes dans le monde ont \u00e9t\u00e9 touch\u00e9es, dont 310 aux \u00c9tats-Unis<\/p>\n “Les fraudeurs ont beaucoup de temps libre et passent des ann\u00e9es \u00e0 \u00e9tudier et \u00e0 comprendre comment abuser des m\u00e9dias sociaux et des plates-formes cloud, o\u00f9 il s’agit d’une course aux armements constante pour emp\u00eacher les mauvais acteurs d’entrer”, a d\u00e9clar\u00e9 Segura. “N’oubliez pas qu’il n’y a pas de solution miracle et que tout ce qui semble trop beau pour \u00eatre vrai peut tr\u00e8s bien \u00eatre une arnaque d\u00e9guis\u00e9e.”<\/p>\n <\/p>\n![\"Chatbot](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689950694_295_Malware-BundleBot-sophistique-deguise-en-chatbot-et-utilitaires-Google-AI.jpg\" "\\"Chatbot")
<\/div>\n