Les acteurs de la menace financi\u00e8rement motiv\u00e9s derri\u00e8re le Casbaneiro<\/strong> famille de logiciels malveillants bancaires ont \u00e9t\u00e9 observ\u00e9s en utilisant un contr\u00f4le de compte d’utilisateur (UAC<\/a>) technique de contournement pour obtenir tous les privil\u00e8ges administratifs sur une machine, signe que l’auteur de la menace fait \u00e9voluer ses tactiques pour \u00e9viter la d\u00e9tection et ex\u00e9cuter du code malveillant sur les actifs compromis.<\/p>\n “Ils sont toujours fortement concentr\u00e9s sur les institutions financi\u00e8res latino-am\u00e9ricaines, mais les changements dans leurs techniques repr\u00e9sentent \u00e9galement un risque important pour les organisations financi\u00e8res multir\u00e9gionales”, a d\u00e9clar\u00e9 Sygnia. a dit<\/a> dans une d\u00e9claration partag\u00e9e avec The Hacker News.<\/p>\n Casbaneiro, \u00e9galement connu sous le nom de Metamorfo et Ponteiro, est surtout connu pour son cheval de Troie bancaire, qui est apparu pour la premi\u00e8re fois dans des campagnes massives de spam par e-mail ciblant le secteur financier latino-am\u00e9ricain en 2018.<\/p>\n Les cha\u00eenes d’infection commencent g\u00e9n\u00e9ralement par un e-mail de phishing pointant vers une pi\u00e8ce jointe pi\u00e9g\u00e9e qui, lorsqu’elle est lanc\u00e9e, active une s\u00e9rie d’\u00e9tapes qui aboutissent au d\u00e9ploiement du logiciel malveillant bancaire, ainsi que des scripts qui exploitent les techniques de vie hors de la terre (LotL) pour identifier l’h\u00f4te et collecter les m\u00e9tadonn\u00e9es du syst\u00e8me.<\/p>\n Un binaire appel\u00e9 Horabot est \u00e9galement t\u00e9l\u00e9charg\u00e9 \u00e0 ce stade, con\u00e7u pour propager l’infection en interne \u00e0 d’autres employ\u00e9s sans m\u00e9fiance de l’organisation pirat\u00e9e.<\/p>\n “Cela ajoute de la cr\u00e9dibilit\u00e9 \u00e0 l’e-mail envoy\u00e9, car il n’y a pas d’anomalies \u00e9videntes dans les en-t\u00eates d’e-mail (domaines externes suspects), ce qui d\u00e9clencherait g\u00e9n\u00e9ralement l’action et l’att\u00e9nuation des solutions de s\u00e9curit\u00e9 des e-mails”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 dans un pr\u00e9c\u00e9dent rapport publi\u00e9 en avril 2022. “Les e-mails incluent la m\u00eame pi\u00e8ce jointe PDF utilis\u00e9e pour compromettre les h\u00f4tes victimes pr\u00e9c\u00e9dents, et donc la cha\u00eene est ex\u00e9cut\u00e9e une fois de plus.”<\/p>\n Ce qui a chang\u00e9 dans les r\u00e9centes vagues d’attaques, c’est que l’attaque est d\u00e9clench\u00e9e par un e-mail de harponnage int\u00e9gr\u00e9 avec un lien vers un fichier HTML qui redirige la cible pour t\u00e9l\u00e9charger un fichier RAR, une d\u00e9viation de l’utilisation de pi\u00e8ces jointes PDF malveillantes avec un lien de t\u00e9l\u00e9chargement vers un fichier ZIP.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Un deuxi\u00e8me changement majeur dans le modus operandi concerne l’utilisation de fodhelper.exe<\/a> pour atteindre un Contournement UAC<\/a> et atteindre un niveau d’ex\u00e9cution \u00e9lev\u00e9.<\/p>\n Sygnia a d\u00e9clar\u00e9 avoir \u00e9galement observ\u00e9 des attaquants de Casbaneiro cr\u00e9er un faux dossier sur C:Windows[space]system32 pour copier l’ex\u00e9cutable fodhelper.exe, bien que le chemin sp\u00e9cialement con\u00e7u n’ait jamais \u00e9t\u00e9 utilis\u00e9 dans l’intrusion.<\/p>\n “Il est possible que l’attaquant ait d\u00e9ploy\u00e9 le dossier fictif pour contourner les d\u00e9tections AV ou pour exploiter ce dossier pour les DLL \u00e0 chargement lat\u00e9ral avec des binaires sign\u00e9s Microsoft pour le contournement UAC”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Le d\u00e9veloppement marque la troisi\u00e8me fois que l’approche du dossier de confiance fictif a \u00e9t\u00e9 d\u00e9tect\u00e9e dans la nature ces derniers mois, avec la m\u00e9thode utilis\u00e9e dans les campagnes fournissant un chargeur de logiciels malveillants appel\u00e9 DBatLoader ainsi que des chevaux de Troie d’acc\u00e8s \u00e0 distance comme Warzone RAT (alias Ave Maria).<\/p>\n <\/p>\n