Les logiciels malveillants GHOSTPULSE se propagent via de fausses applications MSIX
Une récente campagne de cyberattaque a été détectée, utilisant de faux fichiers de packages d'applications MSIX Windows pour des logiciels bien connus tels que Google Chrome, Microsoft Edge, Brave, Grammarly et Cisco Webex comme moyen de diffuser un nouveau chargeur de logiciels malveillants nommé GHOSTPULSE.
MSIX est un format pour les packages d'applications Windows que les développeurs peuvent utiliser pour regrouper, distribuer et installer leurs applications sur les systèmes Windows, comme l'explique Joe Desimone, chercheur chez Elastic Security Labs, dans un récent rapport technique. Néanmoins, il convient de noter que MSIX s'appuie sur l'accès à des certificats de signature de code légitimes ou volés, ce qui en fait une cible attrayante pour les groupes disposant de ressources importantes.
Sur la base des installateurs de logiciels trompeurs utilisés comme appâts, on soupçonne que les victimes potentielles sont amenées à télécharger ces packages MSIX par diverses méthodes, notamment des sites Web compromis, une manipulation d'optimisation des moteurs de recherche (SEO) ou des publicités malveillantes.
Méthode d'infection
Lors du lancement du fichier MSIX, une boîte de dialogue Windows invite les utilisateurs à cliquer sur le bouton "Installer". Cela déclenche le téléchargement clandestin de GHOSTPULSE sur le système compromis à partir d'un serveur distant situé à "manojsinghnegi[.]com" via un script PowerShell.
Ce processus se déroule en plusieurs étapes, la charge utile initiale étant un fichier d'archive TAR contenant un exécutable. Cet exécutable prétend être le service Oracle VM VirtualBox (VBoxSVC.exe), mais il s'agit en fait d'un binaire légitime fourni avec Notepad++ (gup.exe).
Dans l'archive TAR, il y a aussi un fichier appelé handoff.wav et une version falsifiée de libcurl.dll. Ce fichier DLL est chargé pour faire passer le processus d'infection à l'étape suivante en exploitant la vulnérabilité de gup.exe au chargement latéral de DLL.
Le fichier DLL manipulé procède ensuite à l'examen de handoff.wav, qui, à son tour, dissimule une charge utile cryptée qui est décodée et exécutée via mshtml.dll, une technique connue sous le nom de module stomping. Cette action conduit au chargement ultime de GHOSTPULSE.
GHOSTPULSE sert de chargeur et utilise une autre méthode connue sous le nom de processus de doppelgänging pour lancer l'exécution du malware final, qui comprend SectopRAT, Rhadamanthys, Vidar, Lumma et NetSupport RAT.
