ZE Loader permet des attaques par superposition via une connexion RDP
Le ZE Loader est une application Windows malveillante dont les opérateurs l'utilisent pour exécuter les attaques dites overlay. Cette technique d'attaque se concentre sur le vol des données financières des victimes en affichant de fausses invites de phishing au-dessus d'applications et de sites Web légitimes. Dans le cas de ZE Loader, les criminels ciblent des banques, des processeurs de paiement en ligne et des échanges de crypto-monnaie. L'attaquant est capable d'interagir avec la machine de la victime en temps réel, améliorant ainsi considérablement la finesse de l'ensemble de l'opération.
En règle générale, les victimes de ZE Loader finissent par interagir avec le logiciel malveillant à cause d'e-mails de phishing, de faux téléchargements ou de logiciels piratés. Une fois exécuté, ZE Loader apportera quelques modifications à l'installation de Windows. Ces modifications permettent à l'attaquant distant d'accéder plus facilement :
- Il garantit que le cheval de Troie s'exécute avec des autorisations d'administrateur.
- Il a établi une connexion RDP (Remote Desktop Protocol) au serveur de commande et de contrôle.
- ZE Loader active plusieurs connexions RDP sur l'appareil infecté en altérant le registre Windows.
- Le malware crée également un nouveau compte utilisateur avec le nom Administart0r et le mot de passe 123mudar.
- Enfin, l'implant s'assure d'autoriser les connexions RDP via le pare-feu Windows.
En attendant, le malware va également déposer certains fichiers sur la machine de la victime. Certains d'entre eux sont conçus pour assouplir les mesures de sécurité, tandis qu'un fichier JDK_SDK contient tous les actifs que Trojan utilise lors de son attaque. C'est plutôt rare - généralement, les chevaux de Troie qui exécutent des attaques par superposition récupèrent leurs images et leurs pages de phishing à partir du serveur distant. Cependant, ce malware stocke tous ces actifs dans un état crypté sur la machine de la victime.
Les opérateurs de chargeur ZE orchestrent les attaques via des connexions RDP
ZE Loader surveille activement les processus nouvellement ouverts et les sessions de navigateur actives. S'il identifie que l'utilisateur essaie de charger l'un des sites bancaires en ligne pris en charge ou une application ciblée par le cheval de Troie, l'attaquant recevra une notification. Une fois que les criminels se connectent via RDP, ils peuvent commencer à exécuter des commandes. En règle générale, cela montrerait les actifs de phishing du fichier JDK_SDK que le chargeur ZE a apporté. Les criminels sont capables de jouer divers scénarios pour voler des données. Par exemple, ils pourraient demander à l'utilisateur des informations de connexion, des données de carte de crédit, une authentification à deux facteurs, etc.
Bien que ZE Loader n'exécute pas l'attaque par superposition la plus sophistiquée que nous ayons vue, il s'agit toujours d'un malware très dangereux. Protégez vos systèmes Windows contre de telles attaques en utilisant des outils antivirus à jour. Bien sûr, assurez-vous également d'apprendre à naviguer sur le Web en toute sécurité.
