Porte dérobée BadSpace
Des sites Web authentiques mais compromis sont exploités pour distribuer une porte dérobée Windows appelée BadSpace, déguisée en fausses mises à jour de navigateur. La stratégie de l'attaquant comporte plusieurs étapes, en commençant par un site Web infecté, un serveur de commande et de contrôle (C2), parfois une mise à jour trompeuse du navigateur, et enfin un téléchargeur JScript pour implanter la porte dérobée sur le système de la victime.
Table des matières
Les cybercriminels exploitent les sites compromis pour propager la porte dérobée BadSpace
Le processus commence par un site Web compromis, qui peut inclure ceux utilisant WordPress, où le code corrompu est injecté. Ce code contient une logique permettant de déterminer si un visiteur a déjà accédé au site. Lors d'une première visite, le code collecte des données sur l'appareil, l'adresse IP, l'agent utilisateur et l'emplacement, les envoyant à un domaine prédéfini via une requête HTTP GET.
En réponse, le serveur superpose à la page Web une fausse invite de mise à jour de Google Chrome. Cette invite permet de diffuser le logiciel malveillant directement ou via un téléchargeur JavaScript, qui télécharge et lance ensuite BadSpace.
La porte dérobée BadSpace peut effectuer un large éventail d'actions intrusives
BadSpace effectue non seulement des vérifications anti-sandbox et établit la persistance via des tâches planifiées, mais collecte également des données système. Il peut exécuter diverses commandes, notamment prendre des captures d'écran, exécuter des commandes via cmd.exe, manipuler des fichiers et supprimer des tâches planifiées.
L'enquête sur les serveurs de commande et de contrôle (C2) utilisés dans l'attaque a révélé des liens vers un malware connu nommé SocGholish (également connu sous le nom de FakeUpdates). SocGholish est un malware de téléchargement basé sur JavaScript distribué via une méthode similaire.
Les chercheurs en sécurité ont mis en garde les individus et les organisations contre une augmentation des campagnes utilisant de fausses tactiques de mise à jour du navigateur sur des sites Web compromis. Ces campagnes visent à diffuser des voleurs d'informations et des chevaux de Troie d'accès à distance (RAT).
Les menaces dérobées pourraient entraîner de graves conséquences pour les victimes
Les menaces de logiciels malveillants par porte dérobée présentent des risques importants pour les victimes et peuvent entraîner de graves conséquences :
- Vol de données : les portes dérobées peuvent recueillir silencieusement des informations sensibles, telles que des mots de passe, des données financières, des documents personnels et des propriétés intellectuelles. Ces données collectées peuvent être utilisées à diverses fins nuisibles, notamment le vol d’identité, la fraude financière ou l’espionnage industriel.
En résumé, les menaces de logiciels malveillants par porte dérobée peuvent avoir des conséquences graves et de grande envergure, affectant non seulement les actifs numériques de la victime, mais également sa stabilité financière, sa vie privée et sa réputation.
