Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 une version mise \u00e0 jour d’une bo\u00eete \u00e0 outils avanc\u00e9e d’empreintes digitales et de redirection appel\u00e9e WoofLocker<\/strong> qui est con\u00e7u pour mener des escroqueries au support technique.<\/p>\n Le sch\u00e9ma sophistiqu\u00e9 de redirection du trafic a \u00e9t\u00e9 d’abord document\u00e9<\/a> par Malwarebytes en janvier 2020, tirant parti de JavaScript int\u00e9gr\u00e9 dans des sites Web compromis pour effectuer des v\u00e9rifications anti-bot et de filtrage du trafic Web afin de servir le JavaScript de la prochaine \u00e9tape qui redirige les utilisateurs vers un casier de navigateur (alias browlock).<\/p>\n Ce m\u00e9canisme de redirection, \u00e0 son tour, utilise des astuces st\u00e9ganographiques pour dissimuler le code JavaScript dans une image PNG qui n’est servie que lorsque la phase de validation est r\u00e9ussie. Si un utilisateur est d\u00e9tect\u00e9 comme un bot ou un trafic non int\u00e9ressant, un fichier PNG leurre sans le code malveillant est utilis\u00e9.<\/p>\n WoofLocker est \u00e9galement connu sous le nom de 404Browlock en raison du fait que la visite directe de l’URL du browlock sans la redirection appropri\u00e9e ou le jeton de session unique entra\u00eene une page d’erreur 404.<\/p>\n La derni\u00e8re analyse de la firme de cybers\u00e9curit\u00e9 montre que la campagne est toujours en cours.<\/p>\n “Les tactiques et les techniques sont tr\u00e8s similaires, mais l’infrastructure est d\u00e9sormais plus robuste qu’auparavant pour contrer d’\u00e9ventuelles tentatives de retrait”, J\u00e9r\u00f4me Segura, directeur du renseignement sur les menaces chez Malwarebytes, dit<\/a>.<\/p>\n “Il est tout aussi difficile de reproduire et d’\u00e9tudier le m\u00e9canisme de redirection aujourd’hui qu’il l’\u00e9tait alors, en particulier \u00e0 la lumi\u00e8re des nouveaux contr\u00f4les d’empreintes digitales” pour d\u00e9tecter la pr\u00e9sence de machines virtuelles, de certaines extensions de navigateur et d’outils de s\u00e9curit\u00e9.<\/p>\n La majorit\u00e9 des sites chargeant WoofLocker sont des sites Web pour adultes, l’infrastructure utilisant des fournisseurs d’h\u00e9bergement en Bulgarie et en Ukraine qui offrent aux acteurs de la menace une meilleure protection contre les d\u00e9mant\u00e8lements.<\/p>\n L’objectif principal des casiers de navigateur est d’amener les victimes cibl\u00e9es \u00e0 demander de l’aide pour r\u00e9soudre des probl\u00e8mes informatiques (inexistants) et \u00e0 prendre le contr\u00f4le \u00e0 distance de l’ordinateur pour r\u00e9diger une facture recommandant aux personnes concern\u00e9es de payer pour une solution de s\u00e9curit\u00e9 pour r\u00e9soudre le probl\u00e8me.<\/p>\n “Cela est g\u00e9r\u00e9 par des tiers via des centres d’appels frauduleux”, a not\u00e9 Segura en 2020. “L’acteur de la menace derri\u00e8re la redirection du trafic et le browlock sera pay\u00e9 pour chaque piste r\u00e9ussie.”<\/p>\n L’identit\u00e9 exacte de l’auteur de la menace reste inconnue et il existe des preuves que les pr\u00e9paratifs de la campagne ont \u00e9t\u00e9 en cours d\u00e8s 2017.<\/p>\n “Contrairement \u00e0 d’autres campagnes qui reposent sur l’achat de publicit\u00e9s et sur le jeu de la taupe avec les h\u00e9bergeurs et les registraires, WoofLocker est une entreprise tr\u00e8s stable et n\u00e9cessitant peu de maintenance”, a d\u00e9clar\u00e9 Segura. “Les sites Web h\u00e9bergeant le code malveillant ont \u00e9t\u00e9 compromis pendant des ann\u00e9es, tandis que l’infrastructure d’empreintes digitales et de casier de navigateur semble utiliser de solides fournisseurs d’enregistrement et d’h\u00e9bergement.”<\/p>\n La divulgation intervient alors que la soci\u00e9t\u00e9 a d\u00e9taill\u00e9 une nouvelle cha\u00eene d’infection de publicit\u00e9s malveillantes qui consiste \u00e0 utiliser de fausses publicit\u00e9s sur les moteurs de recherche pour diriger les utilisateurs \u00e0 la recherche de programmes d’acc\u00e8s \u00e0 distance et de scanners vers des sites Web pi\u00e9g\u00e9s qui conduisent au d\u00e9ploiement de logiciels malveillants voleurs.<\/p>\n Ce qui distingue cette campagne, c’est sa capacit\u00e9 \u00e0 prendre les empreintes digitales des visiteurs \u00e0 l’aide du API WEBGL_debug_renderer_info<\/a> pour rassembler les propri\u00e9t\u00e9s du pilote graphique de la victime pour trier les vrais navigateurs des crawlers et des machines virtuelles et exfiltrer les donn\u00e9es vers un serveur distant afin de d\u00e9terminer la prochaine ligne de conduite.<\/p>\n “En utilisant un meilleur filtrage avant de rediriger les victimes potentielles vers les logiciels malveillants, les pirates s’assurent que leurs publicit\u00e9s et infrastructures malveillantes restent en ligne plus longtemps”, a d\u00e9clar\u00e9 Segura. dit<\/a>. “Non seulement cela rend plus difficile pour les d\u00e9fenseurs d’identifier et de signaler de tels \u00e9v\u00e9nements, mais cela a \u00e9galement probablement un impact sur les actions de retrait.”<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Microsoft-Exposes-Russian-Hackers039-Sneaky-Phishing-Tactics-via-Microsoft-Teams.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/1692451538_346_WoofLocker-Toolkit-cache-des-codes-malveillants-dans-des-images-pour.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Cybercriminals-Renting-WikiLoader-to-Target-Italian-Organizations-with-Banking-Trojan.gif\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/1692451539_628_WoofLocker-Toolkit-cache-des-codes-malveillants-dans-des-images-pour.jpg\")
<\/div>\n