La porte dérobée SysJoker multiplateforme attaque Windows, macOS et Linux
Experts Intezer a découvert une nouvelle porte dérobée SysJoker multiplateforme qui est utilisée contre les appareils sous Windows, Linux et macOS dans le cadre d'une campagne de cyberespionnage.
Selon les chercheurs, le logiciel malveillant est actif depuis au moins la seconde moitié de 2021. Le malware a été découvert pour la première fois en décembre 2021 lors d'une attaque contre un serveur Web basé sur Linux appartenant à un établissement d'enseignement anonyme.
Le malware est écrit en C++ et chaque variante est adaptée à un système d'exploitation spécifique. toutefois, toutes les variations ne sont pas détectées par les solutions de sécurité présentées sur VirusTotal.
Sous Windows, SysJoker utilise un dropper de premier niveau au format DLL, qui exécute ensuite les commandes PowerShell et effectue les opérations suivantes: Obtient le fichier ZIP SysJoker à partir du GitHub dépôt, l'extrait en C:\ProgramDataRecoverySystem, et exécute la charge utile. Le logiciel malveillant reste inactif pendant environ deux minutes avant de créer un nouveau répertoire et de se copier en tant que Intelligence Service d'interface utilisateur graphique commune (igfxCUIService.exe).
Après avoir collecté les données, le logiciel malveillant prendra pied dans le système en ajoutant une nouvelle clé de registre (HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun). L'étape suivante est l'appel susmentionné au serveur de gestion, qui utilise un lien codé en dur vers Google Drive.
Lorsque les informations recueillies lors des premiers stades de l'infection sont transmises au C&serveur C, il répond avec un jeton unique, qui sert plus tard d'identifiant de la machine infectée. Également, le serveur de contrôle peut ordonner à la porte dérobée d'installer des logiciels malveillants supplémentaires, exécuter des commandes spécifiques sur l'appareil infecté, ou se supprimer. Il est à noter que les deux dernières fonctions n'ont pas encore été pleinement mises en œuvre.
Les chercheurs écrivent que les versions Linux et macOS n'ont pas de compte-gouttes DLL, mais effectuent généralement les mêmes opérations malveillantes sur l'appareil infecté.
Vous pourriez être intéressé de savoir ce que le Capoae un malware installe un plugin de porte dérobée sur les sites WordPress, et cela Nouveau XLoader les logiciels malveillants volent les informations d'identification de macOS et Windows.
