DarkGate Loader livré via des fils de discussion volés

Aug 02, 2023

La recherche a révélé une activité élevée de spam du malware DarkGate distribué via des e-mails de phishing aux utilisateurs via des fichiers MSI ou des charges utiles de script VB.

Le malware Darkgate est actif depuis 2018 et a la capacité de télécharger et d'exécuter des fichiers en mémoire, un module Hidden Virtual Network Computing (HVNC), un keylogging, des capacités de vol d'informations et une élévation de privilèges.

Un utilisateur RastaFarEye fait la publicité de DarkGate Loader sur le xss[.]est un exploit[.]dans les forums de cybercriminalité depuis le 16 juin 2023, avec différents modèles de tarification.

"Le pic actuel de l'activité du malware DarkGate est plausible étant donné que le développeur du malware a récemment commencé à louer le malware à un nombre limité de sociétés affiliées", a déclaré Telekom Security.

Initialement, les e-mails de phishing distribuaient la charge utile avec la variante MSI ou la variante VBScript.

L'attaque commence en cliquant sur l'URL de phishing qui redirige l'utilisateur vers le site de phishing via un système de distribution de trafic (TDS).

Par la suite, le fichier MSI sera téléchargé, qui exécute le script AutoIt pour exécuter un shellcode qui agit comme un conduit pour décrypter et lancer DarkGate via un crypteur (ou un chargeur).

Alors que la charge utile Visual Basic Script utilise cURL pour récupérer l'exécutable AutoIt et le fichier de script pour exécuter le malware.

En cas d'initialisation réussie du malware darkgate, le malware écrira une copie de lui-même sur le disque et créera une clé d'exécution de registre pour conserver l'exécution entre les redémarrages.

Il peut également mettre fin au processus lorsqu'il est détecté par l'AV et modifier son comportement en fonction du produit AV bien connu.

Le malware peut interroger différentes sources de données pour obtenir des informations sur le système d'exploitation, l'utilisateur connecté, les programmes en cours d'exécution, etc.

Le malware utilise plusieurs outils gratuits légitimes publiés par Nirsoft pour extraire des données confidentielles.

Le malware interroge périodiquement le serveur C2 pour obtenir de nouvelles instructions, exécute les commandes reçues et renvoie enfin les résultats au serveur C2.

Tenez-vous informé des dernières actualités en matière de cybersécurité en nous suivant sur Google News, Linkedin, Twitter et Facebook.

Enregistrez mon nom, mon adresse e-mail et mon site Web dans ce navigateur pour la prochaine fois que je commenterai.