Une nouvelle campagne de cyberattaque a \u00e9t\u00e9 observ\u00e9e utilisant de faux MSIX<\/a> Fichiers de packages d’applications Windows pour des logiciels populaires tels que Google Chrome, Microsoft Edge, Brave, Grammarly et Cisco Webex afin de distribuer un nouveau chargeur de logiciels malveillants baptis\u00e9 IMPULSION FANT\u00d4ME<\/strong>.<\/p>\n “MSIX est un format de package d’application Windows que les d\u00e9veloppeurs peuvent exploiter pour empaqueter, distribuer et installer leurs applications aupr\u00e8s des utilisateurs Windows”, Joe Desimone, chercheur chez Elastic Security Labs. dit<\/a> dans un rapport technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Cependant, MSIX n\u00e9cessite l’acc\u00e8s aux certificats de signature de code achet\u00e9s ou vol\u00e9s, ce qui les rend viables pour des groupes de ressources sup\u00e9rieures \u00e0 la moyenne.”<\/p>\n Sur la base des installateurs utilis\u00e9s comme leurres, on soup\u00e7onne que des cibles potentielles sont incit\u00e9es \u00e0 t\u00e9l\u00e9charger les packages MSIX via des techniques connues telles que des sites Web compromis, un empoisonnement par l’optimisation des moteurs de recherche (SEO) ou une publicit\u00e9 malveillante.<\/p>\n Le lancement du fichier MSIX ouvre un Windows invitant les utilisateurs \u00e0 cliquer sur le bouton Installer, ce qui entra\u00eene le t\u00e9l\u00e9chargement furtif de GHOSTPULSE sur l’h\u00f4te compromis \u00e0 partir d’un serveur distant (“manojsinghnegi[.]com”) via un script PowerShell.<\/p>\n Ce processus se d\u00e9roule en plusieurs \u00e9tapes, la premi\u00e8re charge utile \u00e9tant un fichier d’archive TAR contenant un ex\u00e9cutable qui se fait passer pour le service Oracle VM VirtualBox (VBoxSVC.exe), mais qui est en r\u00e9alit\u00e9 un binaire l\u00e9gitime fourni avec Notepad++ (gup.exe).<\/p>\n L’archive TAR contient \u00e9galement handoff.wav et une version trojanis\u00e9e de libcurl.dll charg\u00e9e pour faire passer le processus d’infection \u00e0 l’\u00e9tape suivante en exploitant le fait que gup.exe est vuln\u00e9rable au chargement lat\u00e9ral de DLL.<\/p>\n “Le PowerShell ex\u00e9cute le binaire VBoxSVC.exe qui chargera depuis le r\u00e9pertoire actuel la DLL malveillante libcurl.dll”, a d\u00e9clar\u00e9 Desimone. “En minimisant l’empreinte sur le disque du code malveillant crypt\u00e9, l’acteur malveillant est en mesure d’\u00e9chapper \u00e0 l’analyse AV et ML bas\u00e9e sur les fichiers.”<\/p>\n Le fichier DLL falsifi\u00e9 proc\u00e8de ensuite \u00e0 l’analyse de handoff.wav, qui, \u00e0 son tour, contient une charge utile crypt\u00e9e d\u00e9cod\u00e9e et ex\u00e9cut\u00e9e via mshtml.dll, une m\u00e9thode connue sous le nom de module<\/a> pi\u00e9tiner<\/a>pour finalement charger GHOSTPULSE.<\/p>\n GHOSTPULSE agit comme un chargeur, employant une autre technique connue sous le nom de processus double<\/a> pour lancer l’ex\u00e9cution du malware final, qui comprend SectopRAT, Rhadamanthys, Vidar, Lumma et NetSupport RAT.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Des-pirates-utilisent-des-packages-dapplications-MSIX-pour-infecter-des.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n