Microsoft vient de découvrir un nouveau malware utilisé par les pirates du groupe Hafnium, un collectif affilié au gouvernement chinois. Ce maliciel a la capacité de maintenir l'accès des appareils piratés grâce à des tâches planifiées cachées.

Depuis le début de la guerre en Ukraine, on note une recrudescence des cyberattaques menées par des groupes de hackers affiliés au gouvernement chinois. On sait par exemple que des pirates chinois profitent du conflit actuel pour récupérer des données sensibles en se faisant notamment passer pour des entités gouvernementales.

Plus récemment, des hackers liés à la Chine ont détourné le lecteur multimédia VLC pour s'en servir comme diffuseur de dangereux malwares sur les PC des utilisateurs du logiciel. Or, la trouvaille du jour revient à Microsoft. La firme de Redmond a découvert un nouveau logiciel malveillant utilisé par le groupe de pirates Hafnium, un collectif soutenu par la Chine.

Microsoft découvre un malware qui exploitent les failles Zero-day de Windows

D'après les dires de l'entreprise américaine, ce groupe exploite actuellement des failles zéro-day non-identifiées dans Windows 11 et 10 pour diffuser un malware baptisé Tarrask. Visiblement, ce maliciel est capable de créer des tâches programmées “cachées” ainsi que des commandes ultérieures pour supprimer les attributs des tâches en question. Le but étant de les dissimuler aux yeux des moyens de détection traditionnels. 

Comme l'explique Microsoft, le groupe de pirates a utilisé ces tâches planifiées “cachées” pour maintenir l'accès aux appareils piratés, même après un réinitialisation complète, en rétablissant les connexions interrompues avec l'infrastructure de commande et de contrôle C2. Ces tâches cachées ne peuvent être trouvées qu'après un examen minutieux dans l'éditeur du registre Windows, en recherchant notamment les tâches planifiées sans valeur SD (descriptif de sécurité) dans leur clé de tâche.

Notez que les administrateurs peuvent également activer les journaux Security.evtx et Microsoft-Windows-TaskScheduler/Operational.evtx pour vérifier les éléments clés liés aux tâches “cachées” par le malware Tarrask. “Nous reconnaissons que les tâches programmées sont un outil efficace pour les adversaires afin d'automatiser certaines tâches tout en obtenant la persistance, ce qui nous amène à sensibiliser autour de cette technique régulièrement utilisée”, conclut Microsoft dans son communiqué. Pour rappel, les États-Unis ont récemment contré une cyberattaque de niveau mondial en supprimant des malwares russes présents dans les systèmes de nombreuses entreprises et institutions américaines. Microsoft avait participé à l'effort de guerre.