Le logiciel malveillant BabbleLoader est une menace furtive qui transmet des virus WhiteSnake et Meduza

Des chercheurs en cybersécurité ont découvert un nouveau chargeur de malware très évasif, BabbleLoader, qui est utilisé pour distribuer deux familles de malwares notoires de vol d'informations : WhiteSnake et Meduza. Les mécanismes de défense avancés de BabbleLoader en font une menace puissante capable de contourner les solutions antivirus et les environnements sandbox pour délivrer des charges utiles de malware directement dans la mémoire système.

Qui est ciblé ?

BabbleLoader a été déployé dans des campagnes ciblant à la fois les personnes anglophones et russophones. Il attire principalement ses victimes grâce à deux tactiques spécifiques :

• Se déguisant en logiciel cracké pour attirer les utilisateurs occasionnels.
• Se faisant passer pour un logiciel de comptabilité légitime pour cibler les professionnels du monde des affaires, en particulier ceux de la finance et de l'administration.

Ces tactiques mettent en évidence la polyvalence de BabbleLoader et la sophistication croissante des acteurs de la menace dans l’adaptation des logiciels malveillants à des profils de victimes spécifiques.

La menace croissante des chargeurs de logiciels malveillants

Les chargeurs comme BabbleLoader représentent la première étape de nombreuses attaques de malwares, fonctionnant comme des mécanismes de distribution pour les ransomwares, les voleurs et autres charges utiles malveillantes. Leur capacité à contourner les défenses traditionnelles provient de l'intégration de fonctionnalités anti-analyse avancées, notamment des techniques anti-sandboxing et anti-débogage.

Ces dernières années, de nouvelles familles de chargeurs ont fait leur apparition, comme Dolphin Loader, Emmental, FakeBat et Hijack Loader, utilisés pour diffuser une large gamme de programmes malveillants, notamment CryptBot, Lumma Stealer, SectopRAT, SmokeLoader et Ursnif. L'entrée de BabbleLoader sur ce marché encombré est remarquable par sa conception unique et très évasive.

Pourquoi BabbleLoader se démarque

BabbleLoader utilise plusieurs techniques d'évasion sophistiquées qui le rendent difficile à détecter et à analyser :

• Code indésirable et transformations métamorphiques : ces techniques modifient la structure et le flux du chargeur pour contourner les systèmes de détection basés sur les signatures et comportementaux.
• Résolution des fonctions d'exécution : les fonctions sont résolues uniquement pendant l'exécution, contournant ainsi les méthodes d'analyse statique.
• Code provoquant un crash : un excès de code indésirable peut provoquer le crash des outils de désassemblage ou de décompilation, tels qu'IDA, Ghidra et Binary Ninja.
• Variation constante : chaque build de BabbleLoader possède un code, des chaînes, des métadonnées, un cryptage et un flux de contrôle uniques, garantissant qu'aucun échantillon n'est identique.

Cette variation continue oblige les modèles de détection basés sur l’IA à réapprendre les modèles, ce qui conduit souvent à des détections manquées ou à des faux positifs.

Comment fonctionne BabbleLoader

Le rôle principal de BabbleLoader est de charger du shellcode, qui décrypte et exécute du code malveillant supplémentaire. Ce processus implique un chargeur Donut qui décompresse et déploie la charge utile finale du malware, comme le voleur WhiteSnake ou Meduza. En protégeant ces charges utiles, BabbleLoader permet aux acteurs malveillants de réduire les ressources consacrées au remplacement des infrastructures compromises.

Tendances générales en matière de logiciels malveillants

L’émergence de BabbleLoader coïncide avec d’autres développements récents dans l’écosystème des malwares :

• LodaRAT : Une nouvelle campagne détaillée par Rapid7 a révélé des versions mises à jour de LodaRAT conçues pour voler les cookies et les mots de passe des navigateurs comme Microsoft Edge et Brave. LodaRAT peut également collecter des données sensibles, diffuser des logiciels malveillants supplémentaires et accorder un contrôle à distance sur les systèmes infectés.
• Mr.Skeleton RAT : Ce malware, basé sur njRAT, offre des fonctionnalités telles que l'enregistrement de frappe, l'exécution de shell à distance, la manipulation de fichiers et de registres, et même l'accès à distance à la caméra d'un appareil.

Que peut-on faire ?

Compte tenu des techniques d'évasion sophistiquées utilisées par BabbleLoader et d'autres chargeurs, les solutions antivirus traditionnelles ne suffisent pas à elles seules. Les organisations et les particuliers doivent adopter une approche multicouche de la sécurité qui comprend :

• Outils d'analyse comportementale : pour détecter les comportements anormaux associés aux chargeurs.
• Détection et réponse aux points finaux (EDR) : pour surveiller et atténuer les activités suspectes en temps réel.
• Formation des employés : Reconnaître les tactiques d’hameçonnage et éviter de télécharger des logiciels à partir de sources non vérifiées.

Les chargeurs de malwares continuent d’évoluer. Il est donc essentiel de rester vigilant et proactif pour contrecarrer ces menaces émergentes. La découverte de BabbleLoader souligne la nécessité de disposer de défenses de cybersécurité robustes et d’une adaptation constante aux tactiques des cybercriminels.