Le logiciel malveillant Ghostpulse cible les PC Windows avec de faux programmes d’installation d’applications

Une nouvelle campagne de logiciels malveillants a été détectée. Elle utilise de faux programmes d’installation d’applications pour infecter les PC Windows avec une charge utile malveillante. Ce logiciel malveillant, baptisé Ghostpulse, est conçu pour voler des informations sensibles aux victimes et échapper à la détection des logiciels antivirus.

Selon les chercheurs en sécurité, Ghostpulse est distribué par le biais d’e-mails de phishing contenant un lien vers un site web malveillant. Ce site imite l’apparence de sites légitimes de téléchargement de logiciels, tels que Softonic, CNET ou FileHippo, et propose plusieurs applications populaires, telles que VLC Media Player, WinRAR ou Adobe Flash Player. Cependant, les applications sont en fait de faux installateurs contenant le logiciel malveillant Ghostpulse.

Une fois que l’utilisateur a téléchargé et exécuté le faux programme d’installation, le logiciel malveillant exécute une série de commandes pour s’installer sur le système. Il crée ensuite une porte dérobée qui permet aux attaquants d’accéder à distance à l’ordinateur infecté et d’effectuer toute une série d’activités malveillantes, par exemple

– Collecte d’informations d’identification, d’historique de navigation, de cookies et d’autres informations personnelles

– Téléchargement et exécution de logiciels malveillants supplémentaires

– Effectuez des captures d’écran et enregistrez les frappes au clavier.

– Modifier les paramètres du système et les entrées du registre.

– Supprimer ou crypter des fichiers

Les chercheurs ont également découvert que Ghostpulse utilise plusieurs techniques pour éviter d’être détecté et analysé :

– Cryptez vos communications avec le serveur de commande et de contrôle.

– Utilisation de processus Windows légitimes pour dissimuler votre code malveillant

– Supprimez ses traces après l’exécution.

– Vérifier la présence de logiciels antivirus, de machines virtuelles ou d’outils de débogage.

Les chercheurs avertissent que Ghostpulse est une menace sophistiquée et persistante qui peut causer des dommages importants aux victimes. Ils conseillent aux utilisateurs d’être prudents lorsqu’ils téléchargent des logiciels à partir de sources inconnues et de toujours vérifier l’authenticité des programmes d’installation. Ils recommandent également d’utiliser une solution antivirus fiable et de la maintenir à jour pour se protéger contre les attaques de logiciels malveillants.

Ghostpulse : une nouvelle menace de logiciel malveillant exploitant les paquets MSIX

MSIX est un format d’emballage moderne pour les applications Windows qui offre de nombreux avantages aux développeurs et aux utilisateurs, comme la facilité d’installation, de mise à jour et de désinstallation. Cependant, il présente également un nouveau risque pour la sécurité, car des acteurs malveillants peuvent utiliser des paquets MSIX pour diffuser des logiciels malveillants à des victimes qui ne se doutent de rien.

C’est ce que fait Ghostpulse, une nouvelle souche de logiciels malveillants découverte par Elastic Security Labs. Ghostpulse utilise des paquets MSIX pour placer une charge utile malveillante sur les systèmes Windows, qui effectue ensuite une série d’activités malveillantes, telles que le vol d’informations d’identification, le téléchargement de logiciels malveillants supplémentaires ou l’exécution de commandes.

Comment fonctionne Ghostpulse ?

Ghostpulse exploite le fait que les paquets MSIX sont faciles à installer et ne nécessitent pas de privilèges d’administrateur. Les attaquants créent de faux paquets MSIX qui imitent des applications légitimes, telles que des navigateurs, des outils de productivité ou des logiciels de vidéoconférence. Ils distribuent ensuite ces paquets par le biais de sites web compromis, de techniques de référencement ou de campagnes de publicité malveillante.

Lorsqu’un utilisateur télécharge et exécute l’un de ces faux paquets MSIX, il voit apparaître un faux assistant d’installation qui ressemble à s’y méprendre à la réalité. Cependant, en arrière-plan, le paquet extrait et exécute un fichier exécutable malveillant qui lance le processus d’infection.

L’exécutable malveillant crée ensuite une tâche programmée qui s’exécute toutes les 10 minutes et recherche une connexion internet. S’il en détecte une, il se connecte à un serveur de commande et de contrôle (C2) et envoie des informations sur le système infecté, telles que son adresse IP, son nom d’hôte, son nom d’utilisateur et la version de son système d’exploitation. Il reçoit également des commandes du serveur C2, qui peuvent lui ordonner d’effectuer diverses actions, par exemple :

– Téléchargement et exécution de logiciels malveillants supplémentaires à partir d’une URL spécifique

– Téléchargement de fichiers du système infecté vers le serveur C2

– Exécuter des scripts ou des commandes PowerShell

– Mettre fin à des processus ou supprimer des fichiers.

– Modifier les entrées du registre ou les règles du pare-feu

Comment détecter et prévenir Ghostpulse ?

Ghostpulse est un logiciel malveillant furtif et persistant qui peut échapper à la détection par les logiciels antivirus et les pare-feu. Toutefois, certains indicateurs de compromission (IOC) peuvent aider à identifier les systèmes infectés :

– Présence de paquets MSIX avec des noms ou des éditeurs suspects dans le dossier %LocalAppData%

– Présence de tâches programmées avec des noms ou des descriptions aléatoires dans le planificateur de tâches

– La présence de connexions réseau vers des domaines ou des adresses IP malveillants connus et associés à Ghostpulse.

Pour éviter les infections par Ghostpulse, les utilisateurs doivent être prudents lorsqu’ils téléchargent et installent des paquets MSIX à partir de sources inconnues ou non fiables. Ils doivent également vérifier la signature numérique et l’éditeur du paquet MSIX avant de l’exécuter. En outre, ils doivent utiliser un logiciel de sécurité capable de détecter et de bloquer les paquets MSIX et le trafic réseau malveillants.

Elastic Security Labs surveille en permanence le paysage des menaces et met à jour ses renseignements sur les menaces et ses règles de détection afin de protéger ses clients contre Ghostpulse et d’autres menaces émergentes de logiciels malveillants. Pour en savoir plus sur Ghostpulse et sur la manière de le détecter avec les produits Elastic Security, consultez notre article de blog ici.