Des chercheurs repèrent une nouvelle campagne de malware poussant Solarmarker
Des chercheurs en sécurité de Cisco Talos ont repéré et examiné une nouvelle campagne malveillante utilisant le malware Solarmarker. Selon la recherche, la nouvelle campagne est dirigée par des acteurs de la menace qualifiés et sophistiqués.
Solarmarker est un outil malveillant polyvalent doté des fonctionnalités RAT, backdoor, infostealer et keylogger. Il n'a pas été utilisé dans une campagne plus large et orchestrée au cours des derniers mois, ce qui a incité Cisco à se concentrer davantage sur cette dernière poussée.
Le fait de séparer le composant keylogger de Solarmarker dans cette campagne spécifique a révélé qu'il était très probablement axé sur les victimes européennes, car l'outil ne fonctionne et ne comprend que les chaînes en anglais, allemand et russe.
Les mauvais acteurs derrière la campagne actuelle ne sont cependant pas particulièrement pointilleux sur leurs cibles. ZDNet a cité le rapport de Cisco, soulignant que la campagne Solarmarker cible les institutions gouvernementales, de santé et d'enseignement, apparemment sans motif spécifique.
Les chercheurs travaillant avec Microsoft ont également noté qu'il semble que les mauvais acteurs utilisent une sorte d'empoisonnement SEO. Le but de cette technique est d'améliorer la visibilité du compte-gouttes du malware dans les différentes pages de résultats des moteurs de recherche. Fait intéressant, cette campagne précédente lorsque l'empoisonnement SEO a été repéré pour la première fois avec Solarmarker visait principalement les victimes aux États-Unis.
Infosec avertit que la version actuelle de Solarmarker utilisée peut non seulement voler les informations saisies dans un formulaire de navigateur par les employés de l'entreprise, mais également supprimer les identifiants de connexion qui pourraient conduire à une compromission à l'échelle du réseau.
Solarmarker utilise un module DLL surnommé Jupyter qui est utilisé pour exfiltrer les informations personnelles, les identifiants de connexion et les données de remplissage de formulaire de Chrome et Firefox.
Le compte-gouttes du malware est principalement distribué via des pages infectées et fausses sur des sites Web de téléchargement gratuit. Comme pour beaucoup d'autres logiciels malveillants, le meilleur moyen d'éviter Solarmarker est d'éviter tout téléchargement suspect.
