La popularit\u00e9 du Br\u00e9sil PIX<\/a> Le syst\u00e8me de paiement instantan\u00e9 en a fait une cible lucrative pour les acteurs malveillants cherchant \u00e0 g\u00e9n\u00e9rer des profits illicites \u00e0 l’aide d’un nouveau malware appel\u00e9 GoPIX<\/b>.<\/p>\n Kaspersky, qui suit la campagne active depuis d\u00e9cembre 2022, a d\u00e9clar\u00e9 que les attaques sont men\u00e9es \u00e0 l’aide de publicit\u00e9s malveillantes diffus\u00e9es lorsque les victimes potentielles recherchent \u00ab WhatsApp Web \u00bb sur les moteurs de recherche.<\/p>\n “Les cybercriminels utilisent la publicit\u00e9 malveillante\u00a0: leurs liens sont plac\u00e9s dans la section publicitaire des r\u00e9sultats de recherche, de sorte que l’utilisateur les voit en premier”, explique l’\u00e9diteur russe de cybers\u00e9curit\u00e9. dit<\/a>. “S’ils cliquent sur un tel lien, une redirection s’ensuit, l’utilisateur se retrouvant sur la page d’accueil du malware.”<\/p>\n Comme d\u2019autres campagnes de publicit\u00e9 malveillante l\u2019ont observ\u00e9 r\u00e9cemment, les utilisateurs qui cliquent sur l\u2019annonce seront redirig\u00e9s via un service de masquage destin\u00e9 \u00e0 filtrer les bacs \u00e0 sable, les robots et autres qui ne sont pas consid\u00e9r\u00e9s comme de v\u00e9ritables victimes.<\/p>\n Ceci est accompli en utilisant une solution l\u00e9gitime de pr\u00e9vention de la fraude connue sous le nom de Score de qualit\u00e9 IP<\/a> pour d\u00e9terminer si le visiteur du site est un humain ou un robot. Les utilisateurs qui r\u00e9ussissent le contr\u00f4le voient appara\u00eetre une fausse page de t\u00e9l\u00e9chargement de WhatsApp pour les inciter \u00e0 t\u00e9l\u00e9charger un programme d’installation malveillant.<\/p>\n Chose int\u00e9ressante, le malware peut \u00eatre t\u00e9l\u00e9charg\u00e9 \u00e0 partir de deux URL diff\u00e9rentes selon que le port 27275 est ouvert ou non sur la machine de l’utilisateur.<\/p>\n “Ce port est utilis\u00e9 par le logiciel bancaire s\u00e9curis\u00e9 Avast”, a expliqu\u00e9 Kaspersky. “Si ce logiciel est d\u00e9tect\u00e9, un fichier ZIP est t\u00e9l\u00e9charg\u00e9 contenant un fichier LNK int\u00e9grant un script PowerShell obscurci qui t\u00e9l\u00e9charge l’\u00e9tape suivante.”<\/p>\n Si le port est ferm\u00e9, le package d’installation NSIS est directement t\u00e9l\u00e9charg\u00e9. Cela indique que le garde-fou suppl\u00e9mentaire est explicitement configur\u00e9 pour contourner le logiciel de s\u00e9curit\u00e9 et diffuser le logiciel malveillant.<\/p>\n L’objectif principal du programme d’installation est de r\u00e9cup\u00e9rer et de lancer le malware GoPIX \u00e0 l’aide d’une technique appel\u00e9e processus de creusement<\/a> en d\u00e9marrant le svchost.exe<\/a> Processus syst\u00e8me Windows dans un \u00e9tat suspendu et y injectant la charge utile.<\/p>\n GoPIX fonctionne comme un malware voleur de presse-papiers qui d\u00e9tourne les demandes de paiement PIX et les remplace par une cha\u00eene PIX contr\u00f4l\u00e9e par un attaquant, qui est r\u00e9cup\u00e9r\u00e9e \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2).<\/p>\n “Le malware prend \u00e9galement en charge la substitution des adresses de portefeuille Bitcoin et Ethereum”, a d\u00e9clar\u00e9 Kaspersky. “Cependant, celles-ci sont cod\u00e9es en dur dans le malware et ne sont pas r\u00e9cup\u00e9r\u00e9es du C2. GoPIX peut \u00e9galement recevoir des commandes C2, mais celles-ci sont uniquement li\u00e9es \u00e0 la suppression du malware de la machine.”<\/p>\n Ce n’est pas la seule campagne ciblant les utilisateurs recherchant des applications de messagerie comme WhatsApp et Telegram sur les moteurs de recherche.<\/p>\n Dans une nouvelle s\u00e9rie d’attaques concentr\u00e9es dans la r\u00e9gion de Hong Kong, de fausses publicit\u00e9s dans les r\u00e9sultats de recherche Google ont \u00e9t\u00e9 d\u00e9couvertes pour rediriger les utilisateurs vers des pages frauduleuses similaires qui incitent les utilisateurs \u00e0 scanner un code QR<\/a> pour relier leurs appareils.<\/p>\n “Le probl\u00e8me ici est que le code QR que vous scannez provient d’un site malveillant qui n’a rien \u00e0 voir avec WhatsApp”, J\u00e9r\u00f4me Segura, directeur de la veille sur les menaces chez Malwarebytes, dit<\/a> dans un rapport de mardi.<\/p>\n En cons\u00e9quence, l’appareil de l’acteur malveillant est li\u00e9 aux comptes WhatsApp de la victime, accordant \u00e0 la partie malveillante un acc\u00e8s complet \u00e0 ses historiques de discussion et \u00e0 ses contacts enregistr\u00e9s.<\/p>\n Malwarebytes a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert une campagne similaire qui utilise Telegram comme leurre pour inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger un programme d’installation contrefait \u00e0 partir d’une page Google Docs contenant malware d’injection<\/a>.<\/p>\n Ce d\u00e9veloppement intervient alors que Proofpoint a r\u00e9v\u00e9l\u00e9 qu’une nouvelle version du Cheval de Troie bancaire br\u00e9silien<\/a> surnomm\u00e9 Grandoreiro cible des victimes au Mexique et en Espagne, d\u00e9crivant l’activit\u00e9 comme \u00ab inhabituelle en fr\u00e9quence et en volume \u00bb.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Une-campagne-de-publicite-malveillante-cible-le-systeme-de-paiement.jpg\")
<\/a><\/center><\/div>\n