Supprimer les logiciels malveillants NativeZone
Le NativeZone Malware fait partie de la boîte à outils de piratage du Nobelium APT, une organisation de cybercriminalité surtout connue pour son attaque contre l'éditeur de logiciels SolarWinds. Récemment, leur nom a de nouveau fait la une des journaux, mais cette fois à cause d'une nouvelle campagne ciblant les organisations impliquées dans les secteurs de l'humanitaire et du développement international. Pour mener à bien leur attaque, ils ont introduit quatre nouvelles familles de malwares, dont l'une est NativeZone Malware. Il est généralement abandonné après les implants BoomBox et EnvyScout.
Mais quel est le but de NativeZone Malware? Il s'agit d'un Trojan Loader de base, qui utilise le détournement de DLL pour insérer du code malveillant dans des fichiers légitimes que Windows tente de charger. L'un des fichiers DLL utilisés par NativeZone Malware est CertPKIProvider.dll. Le NativeZone Malware n'est pas exécuté une seule fois - l'implant BoomBox lui accorde la persistance de sorte qu'il s'exécute à chaque démarrage de Windows.
Jusqu'à présent, le NativeZone Malware a été utilisé exclusivement pour télécharger le quatrième implant utilisé par les pirates Nobelium - VaporRage. Il permet aux attaquants de télécharger et d'exécuter du shellcode sur des systèmes compromis, ce qui leur donne à peu près tout le pouvoir sur l'ordinateur compromis. Sur certains des systèmes compromis, VaporRage a été repéré en train de laisser tomber la balise Cobalt Strike.
