Logiciel malveillant LOBSHOT utilisé dans une campagne de publicité malveillante

Plus tôt cette année, Elastic Security Labs, en collaboration avec la communauté des chercheurs, a détecté une augmentation significative de l'utilisation de la publicité malveillante. Les attaquants ont utilisé une stratégie sophistiquée consistant à créer de faux sites Web via Google Ads et à intégrer des portes dérobées dans ce qui semblait être des installateurs légitimes pour promouvoir leurs logiciels malveillants. Parmi les familles de logiciels malveillants observées au cours de ce pic figurait LOBSHOT, qui reste actif et continue de cibler les victimes sans attirer l'attention sur lui.

L'une des principales caractéristiques de LOBSHOT est son composant hVNC (Hidden Virtual Network Computing), qui permet un accès direct et non observé aux machines infectées. Cette capacité s'est avérée très efficace pour contourner les systèmes de détection de fraude et est souvent intégrée aux familles de logiciels malveillants populaires sous forme de plug-ins.

Au cours de l'analyse, les experts ont observé une infrastructure connue pour être associée à TA505, un groupe de cybercriminalité notoire responsable des campagnes Dridex, Locky et Necurs. Il a également été découvert que LOBSHOT partage des similitudes avec un chargeur appelé Get2, qui était auparavant lié aux mêmes domaines que LOBSHOT. Sur la base de ces résultats, les chercheurs pensent avec une confiance modérée que LOBSHOT est une nouvelle capacité de TA505 et est utilisée depuis 2022.

Les infections causées par LOBSHOT commencent généralement par des utilisateurs recherchant des téléchargements de logiciels légitimes. Cependant, ils finissent par télécharger des logiciels illégitimes à partir d'annonces promues via Google. Une fois les bibliothèques initiales chargées, LOBSHOT effectue une vérification anti-émulation sur Windows Defender en vérifiant si le nom de l'ordinateur correspond à "HAL9TH" et le nom d'utilisateur correspond à "JohnDoe".

Ces valeurs sont codées en dur dans la couche d'émulation Defender et, si elles sont détectées, le logiciel malveillant s'arrête immédiatement. Ce type de vérification a été utilisé par d'autres voleurs tels que Arkei, Vidar et Oski.

Comment la publicité malveillante peut-elle être utilisée pour diffuser des logiciels malveillants ?

La publicité malveillante est un type de cyberattaque qui implique l'utilisation de publicités en ligne pour diffuser des logiciels malveillants. Un logiciel malveillant, abréviation de logiciel malveillant, fait référence à tout logiciel conçu pour endommager un système ou un réseau informatique. Les attaquants malveillants utilisent des publicités d'apparence légitime pour inciter les utilisateurs à cliquer dessus, ce qui conduit ensuite à l'installation de logiciels malveillants sur leurs appareils.

Voici quelques façons dont la publicité malveillante peut être utilisée pour diffuser des logiciels malveillants :

• Exploitation des vulnérabilités : les malvertiseurs peuvent créer des publicités contenant du code malveillant qui exploite les vulnérabilités du navigateur, des plug-ins ou du système d'exploitation de l'utilisateur. Lorsqu'un utilisateur clique sur l'annonce, le code s'exécute, télécharge et installe des logiciels malveillants sur l'appareil de l'utilisateur.
• Ingénierie sociale : les malvertisers peuvent utiliser des tactiques d'ingénierie sociale pour inciter les utilisateurs à cliquer sur les publicités. Ils peuvent créer des publicités qui imitent des mises à jour logicielles légitimes, des analyses antivirus ou des messages système. Lorsque l'utilisateur clique sur l'annonce, il est dirigé vers un faux site Web qui l'invite à télécharger un logiciel malveillant.
• Téléchargements automatiques : les annonceurs malveillants peuvent créer des publicités qui téléchargent automatiquement des logiciels malveillants sur l'appareil de l'utilisateur à l'insu de l'utilisateur ou sans son consentement. Ces téléchargements intempestifs tirent souvent parti des vulnérabilités du navigateur ou du système d'exploitation de l'utilisateur.