if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants utilisent des sites Web falsifiés se faisant passer pour Microsoft Edge, Kaspersky, Razer et d’autres fournisseurs pour distribuer des programmes d’installation de chevaux de Troie qui établissent la persistance et affaiblissent les défenses de sécurité.
endif; ?>
Microsoft a averti que les attaquants piratent les systèmes d’entreprise via des sites de téléchargement contrefaits usurpant l’identité de logiciels tels que Microsoft Edge, Kaspersky et Razer, fournissant des installateurs de chevaux de Troie pour un accès persistant.
« Une fois exécutés, les installateurs malveillants déploient des logiciels malveillants qui établissent la persistance, tentent d’affaiblir les protections de sécurité et communiquent avec l’infrastructure contrôlée par les attaquants », ont écrit les chercheurs en sécurité de Microsoft dans un article de blog.
La campagne, suivie par les experts Microsoft Defender, a touché des organisations dans les domaines de la santé, de la fabrication, des jeux, de la technologie, de la logistique, du gouvernement et de l’éducation, a indiqué la société.
Les attaquants utilisent un réseau de sites Web falsifiés imitant des fournisseurs légitimes, allant des navigateurs et outils de sécurité aux utilitaires tels que Baidu Netdisk, draw.io et Sejda PDF, pour inciter les utilisateurs à télécharger des installateurs malveillants, ajoute le blog.
Microsoft a déclaré que la chaîne d’attaque passe « d’une page de téléchargement usurpée d’un fournisseur à un implant persistant et auto-protecteur », transformant les téléchargements de logiciels de routine en un point d’entrée fiable pour la compromission.
La société a ajouté que cette activité est cohérente avec la campagne Silver Fox (également connue sous le nom de Yinhu), annoncée publiquement, même si elle « ne l’a pas attribuée à un acteur étatique ».
Sites similaires et régénération des charges utiles
L’attaque commence par des pages de téléchargement frauduleuses hébergées sur des domaines similaires, utilisant et nommant souvent des modèles qui intègrent la marque usurpée, selon le message.
Ces pages redirigent les victimes vers un backend partagé qui fournit des archives d’installation malveillantes. Une caractéristique clé de la campagne est que les fichiers « conservent le même nom de fichier tandis que leur hachage change à chaque téléchargement », indiquant la génération de charge utile côté serveur, a déclaré Microsoft.
Cela réduit considérablement l’efficacité de la détection basée sur les fichiers, a déclaré Vibhum Dubey, chercheur en cybersécurité et membre de l’équipe rouge.
« Le programme d’installation conserve le même nom de fichier, mais le hachage change à chaque téléchargement. Ainsi, même si les équipes de sécurité identifient et bloquent un échantillon, le prochain téléchargement peut être un fichier différent. »
Abus de composants Windows fiables
Une fois exécuté, le programme d’installation lance une chaîne d’infection en plusieurs étapes, en commençant par un wrapper qui dépose une charge utile vers des emplacements aléatoires sur le système, indique le message.
Dans certains cas, les attaquants utilisent également le service Windows Installer pour exécuter des charges utiles via , permettant ainsi à des activités malveillantes de s’exécuter dans le cadre d’un processus légitime signé par Microsoft, ont noté les chercheurs.
Dubey a déclaré que cela complique la détection car les défenseurs doivent regarder au-delà du binaire lui-même.
« L’utilisation de msiexec.exe rend les choses plus difficiles car il s’agit d’un composant Windows légitime et signé par Microsoft », a-t-il déclaré. « La vraie question est de savoir pourquoi il a été lancé, d’où vient le MSI et que s’est-il passé après son lancement. »
Il a ajouté que cette technique reflète un changement plus large dans le métier des attaquants, les adversaires se fondant de plus en plus dans le comportement normal du système plutôt que de s’appuyer sur des binaires clairement malveillants.
Persistance et évasion défensive
Une fois exécuté, le logiciel malveillant établit sa persistance à l’aide de tâches planifiées qui imitent l’activité de routine du système, en lançant des charges utiles à plusieurs reprises, a déclaré Microsoft.
Les attaquants élèvent ensuite leurs privilèges en utilisant des tâches planifiées de courte durée exécutées en tant que SYSTEM pour modifier les paramètres de Microsoft Defender, ajoute le message.
Microsoft a également observé plusieurs techniques d’évasion de la défense, notamment l’ajout d’exclusions antivirus, la suppression de clichés instantanés de volume et la désactivation des services Windows Update.
Dubey a déclaré que la combinaison de ces techniques est remarquable :
« Le malware ajoute des exclusions Defender, supprime les clichés instantanés, interfère avec Windows Update et utilise une tâche planifiée temporaire au niveau du SYSTÈME. »
« Ces actions montrent que le malware pense autant au défenseur qu’à la victime. Il essaie de rendre la détection plus difficile, d’interférer avec l’application des correctifs et de réduire les chances de récupération. »
Il a ajouté que même si aucune des techniques n’est nouvelle individuellement, il faut les combiner en un seul point de chaîne pour créer un outillage plus délibéré.
Les charges utiles des étapes ultérieures établissent une communication de commande et de contrôle en utilisant une combinaison d’infrastructures dédiées et de services cloud, y compris le stockage objet utilisé pour organiser des charges utiles supplémentaires, a déclaré Microsoft.
Dans certains environnements, l’activité comprenait des actions « pratiques sur le clavier », suggérant que les attaquants pourraient aller au-delà de l’infection automatisée après avoir obtenu l’accès, indique le message.
Risque d’entreprise et changement de détection
La campagne met en évidence les risques pour les organisations multinationales, en particulier lorsqu’il existe des différences régionales en matière d’approvisionnement en logiciels et de pratiques informatiques.
« Pour les organisations mondiales, les bureaux et filiales basés en Chine peuvent avoir des sources de logiciels, des pratiques informatiques et des politiques de sécurité différentes. Ces différences peuvent créer des failles que les attaquants peuvent exploiter », a déclaré Dubey.
Étant donné que les faux sites imitent fidèlement les fournisseurs de confiance, les utilisateurs risquent de ne pas reconnaître la menace. « Un employé peut simplement penser qu’il télécharge un produit familier et n’avoir aucune raison de soupçonner l’installateur », a-t-il déclaré.
Microsoft a exhorté les organisations à se concentrer sur les indicateurs comportementaux plutôt que sur la détection basée sur les fichiers, notant que les noms de fichiers et les hachages sont intentionnellement randomisés.
Dubey a déclaré que ce changement devenait essentiel. « Le principal point à retenir pour moi est qu’un fichier signé par Microsoft ne rend pas l’activité derrière lui légitime », a-t-il déclaré. « Le contexte et la séquence d’actions deviennent bien plus importants que le hachage du fichier seul. »
