Un groupe ayant des liens avec l\u2019Iran a cibl\u00e9 les secteurs du transport, de la logistique et de la technologie au Moyen-Orient, y compris en Isra\u00ebl, en octobre 2023, dans un contexte de recrudescence de la cyberactivit\u00e9 iranienne depuis le d\u00e9but de la guerre entre Isra\u00ebl et le Hamas.<\/p>\n
Les attaques ont \u00e9t\u00e9 attribu\u00e9es par CrowdStrike \u00e0 un acteur mena\u00e7ant qu’il suit sous le nom de Chaton Imp\u00e9rial<\/strong>et qui est \u00e9galement connu sous le nom de Crimson Sandstorm (anciennement Curium), TA456, Tortoiseshell et Yellow Liderc.<\/p>\n Les derni\u00e8res d\u00e9couvertes de la soci\u00e9t\u00e9 s’appuient sur des rapports ant\u00e9rieurs de Mandiant, ClearSky et PwC, ce dernier d\u00e9taillant \u00e9galement des cas de compromission strat\u00e9gique du Web (c’est-\u00e0-dire des attaques de point d’eau) conduisant au d\u00e9ploiement d’IMAPLoader sur des syst\u00e8mes infect\u00e9s.<\/p>\n “L’adversaire, actif depuis au moins 2017, r\u00e9pond probablement aux besoins iraniens en mati\u00e8re de renseignement strat\u00e9gique associ\u00e9s aux op\u00e9rations du CGRI”, a d\u00e9clar\u00e9 CrowdStrike. dit<\/a> dans un rapport technique. “Son activit\u00e9 se caract\u00e9rise par son utilisation de l’ing\u00e9nierie sociale, en particulier du contenu sur le th\u00e8me du recrutement, pour fournir des implants personnalis\u00e9s bas\u00e9s sur .NET.”<\/p>\n Les cha\u00eenes d’attaque exploitent les sites Web compromis, principalement ceux li\u00e9s \u00e0 Isra\u00ebl, pour profiler les visiteurs \u00e0 l’aide de JavaScript sur mesure et exfiltrer les informations vers des domaines contr\u00f4l\u00e9s par les attaquants.<\/p>\n Outre les attaques de points d’eau, il existe des preuves sugg\u00e9rant qu’Imperial Kitten a recours \u00e0 l’exploitation d’exploits d’un jour, aux informations d’identification vol\u00e9es, au phishing et m\u00eame au ciblage des fournisseurs de services informatiques en amont pour un acc\u00e8s initial.<\/p>\n Les campagnes de phishing impliquent l’utilisation de documents Microsoft Excel contenant des macros pour activer la cha\u00eene d’infection et supprimer un shell invers\u00e9 bas\u00e9 sur Python qui se connecte \u00e0 une adresse IP cod\u00e9e en dur pour recevoir d’autres commandes.<\/p>\n Parmi certaines des activit\u00e9s post-exploitation notables figurent la r\u00e9alisation d’un mouvement lat\u00e9ral gr\u00e2ce \u00e0 l’utilisation de PAExec, la variante open source de PsExec, et de NetScan, suivie de la livraison des implants IMAPLoader et StandardKeyboard.<\/p>\n Un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) est \u00e9galement d\u00e9ploy\u00e9 qui utilise Discord pour la commande et le contr\u00f4le, tandis que IMAPLoader et StandardKeyboard utilisent des messages \u00e9lectroniques (c’est-\u00e0-dire des pi\u00e8ces jointes et le corps de l’e-mail) pour recevoir des t\u00e2ches et envoyer les r\u00e9sultats de l’ex\u00e9cution.<\/p>\n “L’objectif principal de StandardKeyboard est d’ex\u00e9cuter les commandes cod\u00e9es en Base64 re\u00e7ues dans le corps de l’e-mail”, a soulign\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. “Contrairement \u00e0 IMAPLoader, ce malware persiste sur la machine infect\u00e9e en tant que service Windows nomm\u00e9 Keyboard Service.”<\/p>\n Cette \u00e9volution intervient alors que Microsoft a soulign\u00e9 que les cyberactivit\u00e9s malveillantes attribu\u00e9es \u00e0 des groupes iraniens apr\u00e8s le d\u00e9but de la guerre le 7 octobre 2023 \u00e9taient plus r\u00e9actives et opportunistes.<\/p>\n “Les op\u00e9rateurs iraniens [are] continuant \u00e0 employer leurs tactiques \u00e9prouv\u00e9es, notamment en exag\u00e9rant le succ\u00e8s de leurs attaques sur les r\u00e9seaux informatiques et en amplifiant ces affirmations et activit\u00e9s via un d\u00e9ploiement bien int\u00e9gr\u00e9 d’op\u00e9rations d’information, ” Microsoft dit<\/a>.<\/p>\n “Il s’agit essentiellement de cr\u00e9er une propagande en ligne cherchant \u00e0 gonfler la notori\u00e9t\u00e9 et l’impact des attaques opportunistes, dans le but d’en accro\u00eetre les effets.”<\/p>\n La divulgation fait \u00e9galement suite \u00e0 des r\u00e9v\u00e9lations selon lesquelles un acteur mena\u00e7ant affili\u00e9 au Hamas nomm\u00e9 Arid Viper aurait cibl\u00e9 des arabophones avec un logiciel espion Android connu sous le nom de SpyC23 via des applications arm\u00e9es se faisant passer pour Skipped et Telegram, selon Cisco Talos et SentinelleOne<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/LImperial-Kitten-Cyber-\u200b\u200bGroup-lie-a-lIran-cible-les-secteurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n