One Article Review
| Source |  RiskIQ |
|---|---|
| Identifiant | 8488231 |
| Date de publication | 2024-04-24 21:21:49 (vue: 2024-04-24 22:07:51) |
| Titre | Campagne de malvertisation ciblant les équipes informatiques avec madmxshell Malvertising Campaign Targeting IT Teams with MadMxShell |
| Texte | ## Instantané
Entre novembre 2023 et mars 2024, Zscaler ThreatLabz a observé un acteur de menace utilisant de faux domaines à l'usurpation des sites de logiciels de scanner IP légitimes pour distribuer une nouvelle porte dérobée appelée "Madmxshell".L'acteur a enregistré des domaines de sosie et a utilisé des annonces Google pour les pousser en haut des résultats de recherche, ciblant des mots clés spécifiques.
## Description
MADMXSHELL utilise un éventail complexe de techniques pour échapper à la détection et établir une communication avec son serveur de commande et de contrôle (C2).En commençant par un processus d'injection à plusieurs étapes, la porte dérobée utilise la charge de touche et la compression DLL pour obscurcir sa présence.Lors de l'exécution, il initie le tunneling DNS pour la communication C2, en utilisant les requêtes DNS MX et les réponses pour transmettre des commandes et recevoir des instructions du serveur C2.La charge utile de la porte dérobée est codée dans les paquets DNS, chaque octet converti en caractères alphanumériques à l'aide d'un schéma de codage personnalisé.Ce processus d'encodage permet le transfert de données entre la machine infectée et le serveur C2, avec chaque paquet DNS limité à une taille maximale pour éviter la détection.De plus, Madmxshell utilise des techniques d'évasion en médecine légale de la mémoire, y compris des mesures antidumping, pour entraver l'analyse et la détection par des solutions de sécurité.
Zscaler ThreatLabz n'est pas en mesure d'attribuer cette activité à un acteur de menace connu pour le moment;Cependant, il évalue que les TTP sont révélateurs d'un acteur sophistiqué qui peut être intéressé à cibler les professionnels de l'informatique, en particulier ceux qui se trouvent dans la sécurité informatique et les rôles de l'administration du réseau.
## Les références
[https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshellciblage-it-teams-madmxshell)
## Snapshot Between November 2023 and March 2024, Zscaler ThreatLabz observed a threat actor utilizing fake domains spoofing legitimate IP scanner software sites to distribute a new backdoor called "MadMxShell." The actor registered look-alike domains and employed Google Ads to push them to the top of search results, targeting specific keywords. ## Description MadMxShell employs a complex array of techniques to evade detection and establish communication with its command-and-control (C2) server. Beginning with a multi-stage injection process, the backdoor utilizes DLL sideloading and compression to obfuscate its presence. Upon execution, it initiates DNS tunneling for C2 communication, utilizing DNS MX queries and responses to transmit commands and receive instructions from the C2 server. The backdoor\'s payload is encoded within DNS packets, with each byte converted into alphanumeric characters using a custom encoding scheme. This encoding process allows for data transfer between the infected machine and the C2 server, with each DNS packet limited to a maximum size to avoid detection. Additionally, MadMxShell employs memory forensics evasion techniques, including anti-dumping measures, to hinder analysis and detection by security solutions. Zscaler ThreatLabz is unable to attribute this activity to any known threat actor at this time; however, it assesses that the TTPs are indicative of a sophisticated actor who may be interested in targeting IT professionals, specifically those in IT security and network administration roles. ## References [https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell](https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell) |
| Envoyé | Oui |
| Condensat | 2023 2024 activity actor additionally administration ads alike allows alphanumeric analysis anti any are array assesses attribute avoid backdoor beginning between byte called campaign characters com/blogs/security command commands communication complex compression control converted custom data description detection distribute dll dns domains dumping each employed employs encoded encoding establish evade evasion execution fake forensics from google hinder however https://www including indicative infected initiates injection instructions interested its keywords known legitimate limited look machine madmxshell malvertising march maximum may measures memory multi network new november obfuscate observed packet packets payload presence process professionals push queries receive references registered research/malvertising responses results roles scanner scheme search security server sideloading sites size snapshot software solutions sophisticated specific specifically spoofing stage targeting teams techniques them those threat threatlabz time; top transfer transmit ttps tunneling unable upon using utilizes utilizing who within zscaler |
| Tags | Threat |
| Stories | |
| Notes | ★★★ |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.