Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Les chercheurs en sécurité de l'unité 42 de Palo Alto Networks ont enquêté sur une variante du logiciel malveillant PlugX qui peut cacher des fichiers malveillants sur des périphériques USB amovibles et infecter ensuite les hôtes Windows auxquels ils se connectent. L'opération fait suite à une compromission du ransomware Black Basta.
Le logiciel malveillant utilise une "nouvelle technique" qui lui permet de passer inaperçu pendant de longues périodes, de la même manière que les logiciels malveillants JavaScript opèrent furtivement dans les environnements de navigation et pourraient potentiellement se propager à des systèmes sous surveillance aérienne. La nouvelle variante de PlugX serait "vermifiable", ce qui signifie qu'elle peut infecter des périphériques USB et se dissimuler dans le système de fichiers d'exploitation de Windows.
L'auteur de la menace utilise la version 32 bits d'un outil de débogage Windows appelé "x64dbg.exe" dans les attaques récentes, ainsi qu'une version empoisonnée de "x32bridge.dll", qui charge la charge utile PlugX (x32bridge.dat).
"Ce logiciel malveillant PlugX cache également les fichiers de l'attaquant dans un périphérique USB à l'aide d'une nouvelle technique, qui rend les fichiers malveillants visibles uniquement sur un système d'exploitation *nix ou en montant le périphérique USB dans un outil médico-légal", peut-on lire dans un avis de l'Unité 42 concernant la nouvelle menace. "Grâce à cette capacité à échapper à la détection, le logiciel malveillant PlugX peut continuer à se propager et potentiellement atteindre des réseaux protégés par un système d'air comprimé."
Cependant, rien ne permet de relier PlugX, une porte dérobée largement utilisée par plusieurs groupes d'États-nations chinois, ou Gootkit au gang du ransomware Black Basta, ce qui implique qu'ils ont été utilisés par d'autres acteurs, tout comme les campagnes de logiciels malveillants Docker sont souvent attribuées à divers groupes de menaces dans la nature. La variante USB de PlugX se distingue par l'utilisation d'un caractère Unicode appelé espace insécable (U+00A0) pour dissimuler des fichiers dans un périphérique USB branché sur un poste de travail.
Enfin, un fichier de raccourci Windows (.LNK) créé dans le dossier racine de la clé USB est utilisé pour exécuter le logiciel malveillant, une méthode qui rappelle les tactiques de diffusion des logiciels malveillants de Qbot. L'échantillon PlugX est chargé non seulement d'installer le logiciel malveillant sur l'hôte, mais aussi de le copier sur tout périphérique amovible qui pourrait y être connecté en le cachant dans un dossier de la corbeille.
L'unité 42 a également indiqué que l'équipe avait découvert une variante de PlugX capable d'infecter les périphériques USB et de copier tous les fichiers Adobe PDF et Microsoft Word de l'hôte. Les copies sont ensuite placées dans un dossier caché créé automatiquement sur le périphérique USB.
Les sources de cet article comprennent un article de TheHackerNews.
