Des acteurs russes du cyberespionnage affili\u00e9s au Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 (FSB) ont \u00e9t\u00e9 observ\u00e9s en train d’utiliser un ver se propageant via USB appel\u00e9 D\u00e9placeur de liti\u00e8re<\/strong> dans des attaques visant des entit\u00e9s ukrainiennes.<\/p>\n Check Point, qui d\u00e9taill\u00e9<\/a> Les derni\u00e8res tactiques de Gamaredon (alias Aqua Blizzard, Iron Tilden, Primitive Bear, Shuckworm et Winterflounder) ont qualifi\u00e9 le groupe de s’engageant dans des campagnes \u00e0 grande \u00e9chelle suivies par \u00ab des efforts de collecte de donn\u00e9es visant des cibles sp\u00e9cifiques, dont la s\u00e9lection est probablement motiv\u00e9e par l’espionnage \u00bb. objectifs.”<\/p>\n Le ver LitterDrifter pr\u00e9sente deux fonctionnalit\u00e9s principales\u00a0: la propagation automatique du malware via des cl\u00e9s USB connect\u00e9es ainsi que la communication avec les serveurs de commande et de contr\u00f4le (C&C) de l’acteur malveillant. Il est \u00e9galement soup\u00e7onn\u00e9 qu’il s’agit d’une \u00e9volution d’un ver USB bas\u00e9 sur PowerShell pr\u00e9c\u00e9demment divulgu\u00e9 par Symantec en juin 2023.<\/p>\n \u00c9crit en VBS, le module de propagation est charg\u00e9 de distribuer le ver sous forme de fichier cach\u00e9 sur une cl\u00e9 USB avec un leurre LNK auquel sont attribu\u00e9s des noms al\u00e9atoires. Le malware tire son nom de LitterDrifter du fait que le composant d’orchestration initial s’appelle “trash.dll”.<\/p>\n “L’approche de Gamaredon envers le C&C est plut\u00f4t unique, car elle utilise des domaines comme espace r\u00e9serv\u00e9 pour les adresses IP en circulation r\u00e9ellement utilis\u00e9es comme serveurs C2”, a expliqu\u00e9 Check Point.<\/p>\n LitterDrifter est \u00e9galement capable de se connecter \u00e0 un serveur C&C extrait d’une cha\u00eene Telegram, une tactique qu’il a utilis\u00e9e \u00e0 plusieurs reprises depuis au moins le d\u00e9but de l’ann\u00e9e.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9tect\u00e9 des signes d’infection possible en dehors de l’Ukraine sur la base des soumissions de VirusTotal provenant des \u00c9tats-Unis, du Vietnam, du Chili, de la Pologne, de l’Allemagne et de Hong Kong.<\/p>\n Gamaredon a eu une pr\u00e9sence active cette ann\u00e9e, tout en faisant \u00e9voluer continuellement ses m\u00e9thodes d’attaque. En juillet 2023, les capacit\u00e9s rapides d\u2019exfiltration de donn\u00e9es de l\u2019adversaire ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es, l\u2019acteur malveillant transmettant des informations sensibles dans l\u2019heure suivant la compromission initiale.<\/p>\n “Il est clair que LitterDrifter a \u00e9t\u00e9 con\u00e7u pour soutenir une op\u00e9ration de collecte \u00e0 grande \u00e9chelle”, a conclu la soci\u00e9t\u00e9. “Il s’appuie sur des techniques simples mais efficaces pour garantir qu’il puisse atteindre l’ensemble d’objectifs le plus large possible dans la r\u00e9gion.”<\/p>\n Ce d\u00e9veloppement intervient alors que le Centre national de coordination de la cybers\u00e9curit\u00e9 (NCSCC) d’Ukraine r\u00e9v\u00e9l\u00e9<\/a> attaques orchestr\u00e9es par des pirates informatiques parrain\u00e9s par l\u2019\u00c9tat russe visant des ambassades \u00e0 travers l\u2019Europe, notamment en Italie, en Gr\u00e8ce, en Roumanie et en Azerba\u00efdjan.<\/p>\n Les intrusions, attribu\u00e9es \u00e0 APT29 (alias BlueBravo, Cloaked Ursa, Cozy Bear, Iron Hemlock, Midnight Blizzard et The Dukes), impliquent l’exploitation de la vuln\u00e9rabilit\u00e9 WinRAR r\u00e9cemment r\u00e9v\u00e9l\u00e9e (CVE-2023-38831) via des leurres d’apparence inoffensive qui pr\u00e9tendent pour proposer des BMW \u00e0 la vente, un th\u00e8me qu’il a utilis\u00e9 dans le pass\u00e9.<\/p>\n La cha\u00eene d’attaque commence par l’envoi aux victimes d’e-mails de phishing contenant un lien vers un fichier ZIP sp\u00e9cialement con\u00e7u qui, une fois lanc\u00e9, exploite la faille pour r\u00e9cup\u00e9rer un script PowerShell \u00e0 partir d’un serveur distant h\u00e9berg\u00e9 sur Ngrok.<\/p>\n “Une tendance inqui\u00e9tante \u00e0 l’exploitation de la vuln\u00e9rabilit\u00e9 CVE-2023-38831 par des groupes de piratage des services de renseignement russes d\u00e9montre sa popularit\u00e9 et sa sophistication croissantes”, a d\u00e9clar\u00e9 le NCSCC.<\/p>\n Plus t\u00f4t cette semaine, l’\u00e9quipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA) d\u00e9terr\u00e9<\/a> une campagne de phishing qui propage des archives RAR malveillantes qui se font passer pour un document PDF du Service de s\u00e9curit\u00e9 de l’Ukraine (SBU) mais, en r\u00e9alit\u00e9, il s’agit d’un ex\u00e9cutable qui conduit au d\u00e9ploiement de Remcos RAT.<\/p>\n Le CERT-UA suit l’activit\u00e9 sous le nom d’UAC-0050, qui \u00e9tait \u00e9galement li\u00e9e \u00e0 une autre vague de cyberattaques visant les autorit\u00e9s de l’\u00c9tat du pays pour livrer Remcos RAT en f\u00e9vrier 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Un-groupe-de-cyberespionnage-russe-deploie-le-ver-USB-LitterDrifter.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n