{"id":4093,"date":"2022-03-28T09:50:42","date_gmt":"2022-03-28T09:50:42","guid":{"rendered":"https:\/\/www.e-xpertsolutions.com\/?p=4093"},"modified":"2024-02-20T09:02:20","modified_gmt":"2024-02-20T09:02:20","slug":"recrudescence-des-campagnes-de-phishing-qakbot","status":"publish","type":"post","link":"https:\/\/www.e-xpertsolutions.com\/de\/recrudescence-des-campagnes-de-phishing-qakbot\/","title":{"rendered":"Recrudescence des campagnes de Phishing QakBot"},"content":{"rendered":"

[et_pb_section fb_built=”1″ _builder_version=”4.16″ _module_preset=”default” custom_padding=”0px|0px||0px|false|false” global_colors_info=”{}”][et_pb_row admin_label=”Post Navigation Top” _builder_version=”4.16″ _module_preset=”default” custom_padding=”0px||15px||false|false” collapsed=”on” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” custom_css_main_element=”height: 90px;” global_colors_info=”{}”][et_pb_code admin_label=”Menu Button” _builder_version=”4.16″ _module_preset=”default” positioning=”absolute” position_origin_a=”top_center” vertical_offset=”28px” z_index=”1″ width=”35px” custom_css_main_element=”font-size: 35px;” global_colors_info=”{}”]<\/i><\/a>[\/et_pb_code][et_pb_post_nav in_same_term=”on” module_class=”tmp-post-navigation tmp-post-navigation-top” _builder_version=”4.16″ _module_preset=”default” title_text_color=”#000000″ title_font_size=”18px” positioning=”absolute” position_origin_a=”center_center” width=”100%” custom_padding=”0px||||false|false” global_colors_info=”{}” title_text_color__hover_enabled=”on|hover” title_text_color__hover=”#F15D22″][\/et_pb_post_nav][et_pb_divider color=”#F15D22″ divider_position=”bottom” _builder_version=”4.16″ _module_preset=”default” positioning=”absolute” position_origin_a=”bottom_center” width=”100%” global_colors_info=”{}”][\/et_pb_divider][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_post_title author=”off” categories=”off” comments=”off” featured_image=”off” _builder_version=”4.16″ _module_preset=”default” title_text_color=”#F15D22″ global_colors_info=”{}”][\/et_pb_post_title][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version=”4.16″ _module_preset=”default” custom_padding=”||2px|||” collapsed=”on” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_divider color=”#F15D22″ divider_weight=”4px” _builder_version=”4.16″ _module_preset=”default” width=”50px” global_colors_info=”{}”][\/et_pb_divider][et_pb_text _builder_version=”4.16″ _module_preset=”default” text_font=”|300|||||||” text_text_color=”#000000″ global_colors_info=”{}”]<\/p>\n

Ces derni\u00e8res semaines, le SOC At-Defense a observ\u00e9 une recrudescence de campagne de phishing Qakbot chez ses clients. Ces attaques utilisent la derni\u00e8re version du malware QakBot existante (Version :403.549, campagne : 1647248933).
Une sensibilisation des \u00e9quipes techniques et des utilisateurs finaux permet de r\u00e9duire le risque d\u2019une compromission par ce malware difficilement d\u00e9tectable par les m\u00e9canismes usuels de d\u00e9fense (filtre mail, Antivirus\/EDR, etc.)<\/p>\n

[\/et_pb_text][et_pb_text _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”]<\/p>\n

Description de la menace<\/span><\/h3>\n

[\/et_pb_text][et_pb_text _builder_version=”4.16″ _module_preset=”default” text_font=”|300|||||||” text_text_color=”#000000″ global_colors_info=”{}”]QakBot est un trojan bancaire connu \u00e9galement sous le nom de QBot ou Pinkslipbot. C\u2019est un malware r\u00e9pandu, actif depuis 2007, comportant de nombreuses variations suivant les groupes d\u2019attaquants et les diff\u00e9rentes campagnes. Ce malware est le plus souvent utilis\u00e9 par des groupes criminels \u00e0 des fins financi\u00e8res.
\nUne compromission par QakBot entraine g\u00e9n\u00e9ralement les actions suivantes :<\/p>\n

Ex\u00e9cution du malware :<\/span><\/strong>
\nSur le poste infect\u00e9 des op\u00e9rations de reconnaissances automatis\u00e9es sont r\u00e9alis\u00e9es d\u00e8s l\u2019ex\u00e9cution du malware permettant de r\u00e9cup\u00e9rer des informations sur l\u2019utilisateur, ses droits, les groupes auxquels il appartient ainsi que des informations sur le syst\u00e8me et les r\u00e9seaux telles que le nom de la machine, la configuration IP, la liste des disques ou encore la table ARP.
\nQakBot charge ensuite des modules compl\u00e9mentaires permettant d\u2019obtenir des informations plus sensibles comme les identifiants des comptes bancaires, les e-mails ou encore les mots de passes de l\u2019utilisateur.
\nLorsque le malware a r\u00e9cup\u00e9r\u00e9 suffisamment d\u2019informations sur la cible, l\u2019acc\u00e8s sur le syst\u00e8me infect\u00e9 est revendu \u00e0 d\u2019autres groupes d\u2019attaquants. Ces groupes d\u2019attaquants utilisent d\u2019autres malware comme les ransomware pour chiffrer le syst\u00e8me cible.<\/p>\n

Communication avec les attaquants :<\/span><\/strong>
\nLa connexion avec le serveur commande et de contr\u00f4le est effectu\u00e9e \u00e0 intervalle r\u00e9gulier pour diverses op\u00e9rations. Parmi ces op\u00e9rations on retrouve notamment :<\/p>\n