Logiciel malveillant PureCrypter distribué via Discord

La société de sécurité Menlo Labs a émis un avertissement concernant un acteur menaçant qui utilise le téléchargeur PureCrypter pour distribuer diverses formes de logiciels malveillants aux entités gouvernementales des régions Asie-Pacifique et Amérique du Nord.

Dans le cadre de ces attaques, les attaquants utilisent Discord à des fins de distribution, tandis que le domaine d'une organisation à but non lucratif réquisitionnée sert de serveur de commande et de contrôle (C&C) pour héberger une charge utile secondaire. Les victimes ciblées sont frappées par une série de menaces, notamment Redline Stealer, AgentTesla, Eternity, Blackmoon et Philadelphia ransomware. PureCrypter est un téléchargeur sophistiqué qui offre la persistance et est disponible à l'achat depuis mars 2021.

La menace est écrite en .NET, prend en charge différents types d'injection et mécanismes de défense, et peut être personnalisée avec de faux messages et des fichiers supplémentaires. Dans la campagne actuelle, les attaquants hébergent PureCrypter sur Discord et utilisent le courrier électronique pour envoyer un lien vers la charge utile aux cibles visées, tout en cachant le téléchargeur dans des fichiers ZIP protégés par mot de passe pour contourner les défenses existantes. Une fois que le chargeur PureCrypter est exécuté sur le système, il tente de récupérer une charge utile secondaire à partir du site Web d'une organisation à but non lucratif réquisitionnée.

La charge utile a été identifiée comme le voleur d'informations AgentTesla, qui communique avec un serveur FTP au Pakistan pour exfiltrer les données des victimes. Menlo note que le serveur a probablement été accédé à l'aide d'informations d'identification compromises trouvées en ligne.

Pourquoi les auteurs de menaces utilisent-ils des plates-formes tierces légitimes pour distribuer des logiciels malveillants ?

Les auteurs de menaces utilisent des plates-formes tierces légitimes, telles que Discord, pour distribuer des logiciels malveillants, car ces plates-formes offrent un niveau d'anonymat et empêchent les solutions de sécurité de détecter et de bloquer l'activité malveillante. En utilisant ces plates-formes, les attaquants peuvent créer de faux comptes ou exploiter des comptes légitimes pour diffuser des liens ou des fichiers malveillants, souvent déguisés en contenu inoffensif. De plus, l'utilisation de plates-formes tierces permet aux attaquants d'accéder à un grand nombre de victimes potentielles, ce qui leur permet de trouver et de cibler plus facilement des systèmes vulnérables.

De plus, les attaquants utilisent souvent des domaines légitimes comme serveur de commande et de contrôle (C&C) pour échapper à la détection, car le trafic vers ces domaines est moins susceptible d'être bloqué par des solutions de sécurité.

Dans l'ensemble, l'utilisation de plates-formes tierces légitimes permet aux pirates de contourner les mesures de sécurité et de transmettre plus efficacement leurs logiciels malveillants aux victimes.