Process-Hollowing

🔍 Contexte Publié le 2 avril 2026 par Censys (auteur : Andrew Northern, Principal Security Researcher), cet article présente une découverte CTI issue d’une méthodologie de chasse technique basée sur l’analyse des corps de réponses HTTP à l’échelle d’Internet. La recherche a permis de surface une campagne ClickFix active livrant XWorm V5.6 via le loader MaaS PhantomVAI. 🎯 Vecteur d’entrée et infrastructure compromise Le point d’entrée est le site d’une entreprise turque de matériel médical, orcanmedikal[.]com[.]tr, dont tous les sous-domaines (naked domain, www, mail) servent une page identique de 1 655 octets intitulée “AntiFraud Authenticator”. Cette page ClickFix invite la victime à cliquer sur un bouton COPY, ce qui copie silencieusement une commande PowerShell encodée dans le presse-papiers via navigator.clipboard.writeText(). ...

Source et contexte — IBM X-Force publie une analyse technique de « QuirkyLoader », observé depuis novembre 2024, un nouveau loader employé pour déposer des charges additionnelles sur des hôtes déjà compromis. L’article détaille la chaîne d’infection, les techniques d’évasion, les familles livrées, la victimologie récente (Taïwan, Mexique) et des indicateurs d’infraction associés. Chaîne d’infection — La campagne débute par des e‑mails de spam contenant une archive malveillante. Celle‑ci regroupe un exécutable légitime, un payload chiffré (déguisé en DLL) et un module DLL loader. L’acteur exploite le DLL side‑loading: l’exécutable légitime charge la DLL malveillante, qui lit et déchiffre la charge, puis l’injecte dans un processus cible. Le module DLL est systématiquement écrit en C# .NET et compilé en Ahead‑of‑Time (AOT), produisant un binaire natif qui ressemble à du C/C++. Un variant noté utilise le chiffre Speck‑128 en mode CTR pour générer un keystream (opérations ARX) et déchiffrer le payload par XOR en blocs de 16 octets. ...