Magnitude Exploit Kit (PopAds)

[Malekal_morte]

Le kit d'exploitation de vulnérabilités Magnitude Exploit Kit (aka PopAds) fait une nouvelle fois parler de lui. Pour rappel, les "Exploit Kit" permettent d'infecter massivement et de manière automatique les visiteurs vulnérables lorsqu'ils visitent des sites web préalablement piégées.

Répartition des malwares diffusés par ce kit :
- Alureon, CryptoWall, Necurs, Nymaim, Simda, Tepfer, Vawtrak, Zeus



Pourcentages d'infections en fonction des pays, la France est à 9%



D'après les chercheurs de Trustwave, en un mois, 210 000 systèmes Windows ont été infectés par le rançongiciel chiffreur CryptoWall ce qui aurait géré un revenu estimé à plus d'un million de dollars US.

Liens internes :

• Nuclear Web ExploitKit
• Angler Web ExploitKit

[Malekal_morte]

SpiderLabs a publié un article sur l'infrastructure Magnitude

Magnitude_infrastructure.png

[Malekal_morte]

Magnitude EK est toujours très actif, des Crypto-Ransomware sont diffusés et notamment Cerber.

Quelques liens en rapport aux campagnes actuelles :
Ransomware : Vulnérabilité Flash (CVE-2016-1019) et Magnitude Exploit Kit

Sur son blog, Malwarebytes publie des statistiques sur des campagnes de malvertising (publicités malicieuses) où Magnitude EK diffuse Cerber.

adsterratss_malvertising.png

[Malekal_morte]

Mangitude EK utilise la vulnérabilité critique CVE-2016-4117 concernant le produit Adobe Flash (versions <= à la v21.0.0.226) sous Windows, Macintosh et Linux. Une exploitation réussie permet d'exécuter du code arbitraire à distance, sans interaction de la part de l'utilisateur.

Page de l'annonce de sécurité d'Adobe
→ APSA16-02

→ http://malware.dontneedcoffee.com/2016/ ... 3-and.html
→ https://www.fireeye.com/blog/threat-res ... o-day.html

[Malekal_morte]

Le service de cloud storage Uptobox a été détourné à l'aide d'une malvertising ( publicité piégée )

[Malekal_morte]

Magnitude Exploit Kit très actif pour pousser le Ransomware Cerber
> Malvertising sur Uptobox pousse le ransomware Cerber

[Malekal_morte]

Un article complet sur l'exploit kit Magnitude qui vise à pousser le cerber ransomware sur Internet Explorer de Windows 10.
> https://www.proofpoint.com/us/threat-in ... windows-10

En autre, l'exploit kit affiche de fausses popups se faisant passer pour Windows Defender.
Le but étant de forcer l'exécution d'un fichier LNK qui se charge ensuite d'installer Le logiciel malveillant sur l'ordinateur en autre Ransomware Cerber .

Le LNK contient un script PowerShell.

Magnitude-EK-fake-Windows-Defender.png

Magnitude-EK-fake-Windows-Defender-2.png

D'où encore une fois, l'intérêt de bloquer PowerShell sur le pare-feu Windows : Pare-feu Windows.

[Malekal_morte]

Un autre article intéressant venant de Malwarebytes concernant Magnitude exploit kit
Les redirections provenant de publicités malveillantes comme évoquées précédemment, le schéma de cet exploitkit donne :

magnitude_flow.png

En autre, l'ExploitKit récupère l'IP locale de l'ordinateur et le modèle de carte graphique, cela permet de vérifier s'il s'agit d'un ordinateur réel ou d'une machine virtuelle.

source : https://blog.malwarebytes.com/cybercrim ... ion-chain/