Ce logo Windows est dangereux

#imagelogowindows #backdoor #witchetty #attaque
L’image d’un ancien logo Windows n’est pas ce qu’elle semble être. Il cache une charge utile malveillante et a été utilisé dans le cadre d’une campagne d’attaque. Identifiée comme un look de look eset, le groupe de cyberespionnage de la sorcellerie est un sous-groupe TA410 qui maintient des liens étroits avec le groupe de cyberespionnage APT10 (ou cigale). Ce dernier travaillerait avec le soutien de la Chine. Des chercheurs en cybersécurité de l’équipe Symantec Threat Hunter (Broadcom Software) ont découvert des attaques de Witchetty qui ont eu lieu entre février et au moins jusqu’en septembre 2022. Ils ont ciblé les gouvernements de deux pays au Moyen-Orient et le marché boursier d’un pays africain. Les attaquants ont exploité les vulnérabilités de sécurité proxyshell et proxylogon – qui ont affecté Microsoft Exchange Server – pour le déploiement de shell Web sur les serveurs publics. Ils ont pu voler des informations d’identification, se déplacer latéralement sur les réseaux informatiques et installer des logiciels malveillants sur d’autres ordinateurs. Une image piégée hébergée sur github

Après le compromis, le groupe des sorciers a utilisé une porte dérobée autorisant un ensemble de commandes: copie, mouvement ou suppression de fichiers, création ou suppression d’un répertoire, lancement d’un nouveau processus ou arrêt d’un processus, de la création ou de la suppression existants d’une fenêtre clé d’enregistrement. La porte volée était cachée à l’image d’un ancien logo Windows. L’image était affichée normalement et le fichier piégé a été hébergé sur GitHub. “En déguisant la charge utile de cette manière, les attaquants ont pu l’accueillir sur un service gratuit et fiable. Les téléchargements d’hôtes de confiance comme Github sont beaucoup moins susceptibles de déclencher des alertes que les téléchargements à partir d’un serveur de contrôle et de contrôle détenu par les attaquants.” Stéganographie malveillante

Selon des chercheurs en sécurité, un cheval de Troie de type porte dérobée est une nouveauté dans l’arsenal disponible pour le groupe Witchetty. Il utilise la technique de la stéganographie. Si ces données de dissimulation de la technique dans un fichier sont connues, les chercheurs soulignent qu’il est rarement observé avec un code malveillant caché dans une image. Dans ce cas, leur outil et module Stegmap tirent parti de la stéganographie pour extraire sa charge utile à partir d’une image bitmap téléchargée par un chargeur DLL de GitHub. La charge utile cachée dans le fichier est déchiffrée avec une touche XOR.