Les opérateurs de la campagne GootLoader visent les employés des cabinets comptables et juridiques dans le cadre d’une nouvelle vague de cyberattaques généralisées visant à déployer des logiciels malveillants sur les systèmes infectés, ce qui indique que l’adversaire étend son attention à d’autres cibles de grande valeur.
« GootLoader est un malware d’accès initial furtif qui, après avoir pris pied dans le système informatique de la victime, infecte le système avec un ransomware ou un autre malware mortel », ont déclaré des chercheurs d’eSentire. mentionné dans un rapport partagé avec The Hacker News.
Le fournisseur de services de cybersécurité a déclaré avoir intercepté et démantelé des intrusions visant trois cabinets d’avocats et une entreprise comptable. Les noms des victimes n’ont pas été divulgués.
Les logiciels malveillants peuvent être diffusés sur les systèmes des cibles via de nombreuses méthodes, y compris des résultats de recherche empoisonnés, de fausses mises à jour et des applications trojanisées téléchargées à partir de sites liés à des logiciels piratés. GootLoader recourt à la première technique.
En mars 2021, des détails sont apparus sur une téléchargement en voiture offensive qui consistait à inciter des victimes sans méfiance à visiter des sites Web WordPress compromis appartenant à des entreprises légitimes via une technique appelée empoisonnement des moteurs de recherche qui pousse ces sites en tête des résultats de recherche.
« Leur modus operandi (MO) consiste à attirer un professionnel vers l’un des sites Web compromis, puis à le faire cliquer sur le lien menant à Gootloader, qui tente de récupérer la charge utile finale, qu’il s’agisse d’un rançongiciel, d’un cheval de Troie bancaire ou d’une intrusion. outil/voleur d’informations d’identification », les chercheurs expliqué dans un écrit.
eSentire estime que plus de 100 000 pages Web malveillantes ont été créées l’année dernière sur des sites Web représentant des entités de l’industrie hôtelière, de la vente au détail haut de gamme, de l’éducation, de la santé, de la musique et des arts visuels, l’un des sites Web piratés hébergeant 150 pages malveillantes conçues pour les utilisateurs d’ingénieurs sociaux. la recherche d’accords postnuptial ou de propriété intellectuelle.
Les sites Web, pour leur part, sont piratés en exploitant les failles de sécurité du système de gestion de contenu WordPress (CMS), permettant effectivement aux attaquants d’injecter clandestinement les pages de leur choix à l’insu du propriétaire du site.
La nature de GootLoader et la façon dont il est conçu pour fournir une porte dérobée dans les systèmes impliquent que l’objectif des attaques pourrait être la collecte de renseignements, mais il pourrait également être utilisé comme un outil pour fournir des charges utiles supplémentaires dommageables, y compris Cobalt Strike et des rançongiciels, à des personnes compromises. systèmes d’attaques ultérieures.
« GootLoader s’appuie fortement sur l’ingénierie sociale pour s’implanter, de l’empoisonnement des résultats de recherche Google à la personnalisation de la charge utile », a déclaré Keegan Keplinger, responsable de la recherche et des rapports pour l’unité de réponse aux menaces (TRU) d’eSentire.
« Les opérateurs de GootLoader invitent les employés à rechercher, télécharger et exécuter leurs logiciels malveillants sous le couvert d’un modèle d’accord commercial gratuit. Ceci est particulièrement efficace contre les cabinets juridiques, qui peuvent rencontrer des demandes inhabituelles de clients. »
Pour atténuer ces menaces, il est recommandé aux organisations de mettre en place un processus de vérification des échantillons d’accords commerciaux, de former les employés à n’ouvrir que des documents provenant de sources fiables et de s’assurer que le contenu téléchargé correspond au contenu destiné à être téléchargé.
