Logiciel malveillant BlackSoul

Description de Logiciel malveillant BlackSoul

Un nouveau tracas de malware RAT (Remote Access Trojan) a été détecté en cours de déploiement via ce que l'on pense être une campagne de spear-phishing ciblant des entités gouvernementales. Le malware a été nommé BlackSoul par les chercheurs d'Infosec qui ont détecté l'opération. En raison des similitudes dans le code de l'outil malveillant et dans l'ensemble des TTP (techniques, tactiques et procédures) de la campagne, les experts ont déterminé que les acteurs de la menace les plus probablement responsables sont le groupe de hackers ReconHellcat.

L'attaque commence par un faux e-mail de leurre contenant une archive CAB compromise. L'archive et le fichier qu'elle contient ont un nom identique - «1-10-22-hb44_final». L'implication est que la pièce jointe est un document de l'Institut national des normes et de la technologie (NIST), qui pourrait être une information d'intérêt pour les personnes ciblées.

Le fichier exécutable contenu dans l'archive porte le chargeur de premier niveau. Le malware est équipé de techniques d'obfuscation qui sont cohérentes avec les précédents outils de menace attribués au groupe ReconHellcat. Lors de l'établissement d'une connexion avec l'infrastructure Command-and-Control (C2, C&C), le chargeur récupère et affiche la charge utile finale sous la forme de deux nouveaux fichiers. Il tente également de masquer son activité en présentant à l'utilisateur cible une fenêtre Microsoft Word légitime avec le document légitime du site Web du NIST. Les deux fichiers déposés sur la machine compromise par le chargeur sont un exécutable nommé «blacksoul» et un fichier DLL nommé «blacksoulLib».

La charge utile BlackSoul elle-même est un RAT relativement simple avec un nombre limité de fonctions et de commandes actionnables. Il ne reconnaît que quatre commandes reçues des serveurs C2, mais elles sont largement suffisantes. BlackSoul peut exécuter des commandes arbitraires, récupérer des fichiers supplémentaires, les déposer sur le système infecté et en exfiltrer des fichiers. Pour éviter d'être détecté, le RAT a été équipé de plusieurs techniques d'obfuscation. Principalement, il construit des chaînes sur la pile de manière dynamique, puis utilise un certain nombre de mécanismes différents tels qu'un chiffrement XOR fixe et un chiffrement César en utilisant des valeurs de décalage variables pour les désobfusquer.

Quant au fichier de bibliothèque DLL, lorsqu'il est appelé par BlackSoul, il tente de collecter des données à partir des navigateurs Web Chrome, Firefox et Opera. Si ces données ne peuvent pas être obtenues, le programme met fin prématurément à son fonctionnement. Il facilite également la connexion initiale aux serveurs C2 en décodant l'URL C2 et l'URL Cloudflare DNS-over-HTTPS (DoH). De plus, il génère les informations de connexion nécessaires et renvoie les données collectées au BlackSoul Malware au format JSON.

ReconHellcat semble suivre son modèle de lancement de campagnes d'attaque contre les organisations gouvernementales. Lors d'opérations précédentes, les pirates informatiques ont été documentés, tentant d'infiltrer les organisations diplomatiques et les organismes gouvernementaux de défense.

Laisser une Réponse

Veuillez ne pas utiliser ce système de commentaires pour des questions de soutien ou de facturation. Pour les demandes d'assistance technique de SpyHunter, veuillez contacter directement notre équipe d'assistance technique en ouvrant un ticket d'assistance via votre SpyHunter. Pour des problèmes de facturation, veuillez consulter notre page «Questions de facturation ou problèmes?". Pour des renseignements généraux (plaintes, juridique, presse, marketing, droit d’auteur), visitez notre page «Questions et commentaires».


Le HTML n'est pas autorisé.