L’acteur mena\u00e7ant appel\u00e9 Atlas des nuages<\/strong> a \u00e9t\u00e9 li\u00e9e \u00e0 une s\u00e9rie d’attaques de spear-phishing contre des entreprises russes.<\/p>\n Les cibles comprenaient une entreprise agro-industrielle russe et une soci\u00e9t\u00e9 de recherche publique, selon un rapport. rapport<\/a> de FACCT, une soci\u00e9t\u00e9 autonome de cybers\u00e9curit\u00e9 cr\u00e9\u00e9e apr\u00e8s la sortie officielle du Groupe-IB de Russie plus t\u00f4t cette ann\u00e9e.<\/p>\n Cloud Atlas, actif depuis au moins 2014, est un groupe de cyberespionnage d’origine inconnue. \u00c9galement appel\u00e9 Clean Ursa, Inception, Oxygen et Red October, l’acteur mena\u00e7ant est connu pour ses campagnes persistantes ciblant la Russie, la Bi\u00e9lorussie, l’Azerba\u00efdjan, la Turquie et la Slov\u00e9nie.<\/p>\n En d\u00e9cembre 2022, Check Point et Positive Technologies ont d\u00e9taill\u00e9 des s\u00e9quences d’attaques en plusieurs \u00e9tapes qui ont conduit au d\u00e9ploiement d’une porte d\u00e9rob\u00e9e bas\u00e9e sur PowerShell appel\u00e9e PowerShower ainsi que de charges utiles DLL capables de communiquer avec un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n De l’UTILISATEUR \u00e0 l’ADMINISTE\u00a0: d\u00e9couvrez comment les pirates informatiques prennent le contr\u00f4le total<\/p>\n <\/a> <\/p>\n D\u00e9couvrez les tactiques secr\u00e8tes utilis\u00e9es par les pirates pour devenir administrateurs, comment les d\u00e9tecter et les bloquer avant qu’il ne soit trop tard. Inscrivez-vous \u00e0 notre webinaire d\u00e8s aujourd’hui.<\/p>\n Adh\u00e9rer maintenant<\/a> <\/section>\n Le point de d\u00e9part est un message de phishing contenant un document leurre qui exploite CVE-2017-11882, une faille de corruption de m\u00e9moire vieille de six ans dans l’\u00e9diteur d’\u00e9quations de Microsoft Office, pour lancer l’ex\u00e9cution de charges utiles malveillantes, une technique utilis\u00e9e par Cloud Atlas. aussit\u00f4t que Octobre 2018<\/a>.<\/p>\n “Les campagnes massives de spear phishing de l’acteur continuent d’utiliser ses m\u00e9thodes simples mais efficaces afin de compromettre ses cibles”, Kaspersky not\u00e9<\/a> en ao\u00fbt 2019. “Contrairement \u00e0 de nombreux autres ensembles d’intrusions, Cloud Atlas n’a pas choisi d’utiliser des implants open source lors de ses r\u00e9centes campagnes, afin d’\u00eatre moins discriminant.”<\/p>\n FACCT a d\u00e9crit la derni\u00e8re cha\u00eene de destruction comme similaire \u00e0 celle d\u00e9crite par Positive Technologies, avec une exploitation r\u00e9ussie de CVE-2017-11882 via l’injection de mod\u00e8le RTF, ouvrant la voie au shellcode responsable du t\u00e9l\u00e9chargement et de l’ex\u00e9cution d’un fichier HTA obscurci. Les courriers proviennent des services de messagerie russes populaires Yandex Mail et Mail.ru de VK.<\/p>\n L’application HTML malveillante lance ensuite des fichiers Visual Basic Script (VBS) qui sont finalement responsables de la r\u00e9cup\u00e9ration et de l’ex\u00e9cution d’un code VBS inconnu \u00e0 partir d’un serveur distant.<\/p>\n “Le groupe Cloud Atlas est actif depuis de nombreuses ann\u00e9es et r\u00e9fl\u00e9chit soigneusement \u00e0 chaque aspect de ses attaques”, Positive Technologies dit<\/a> du groupe l’ann\u00e9e derni\u00e8re.<\/p>\n \u00ab La bo\u00eete \u00e0 outils du groupe n’a pas chang\u00e9 depuis des ann\u00e9es\u00a0: ils tentent de cacher leurs logiciels malveillants aux chercheurs en utilisant des requ\u00eates de charge utile ponctuelles et en les validant. Le groupe \u00e9vite les outils de d\u00e9tection d’attaques de r\u00e9seau et de fichiers en utilisant un stockage cloud l\u00e9gitime et des fonctionnalit\u00e9s logicielles bien document\u00e9es. en particulier dans Microsoft Office.”<\/p>\n Cette \u00e9volution intervient alors que la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’au moins 20 organisations situ\u00e9es en Russie avaient \u00e9t\u00e9 compromises \u00e0 l’aide de Decoy Dog, une version modifi\u00e9e de Pupy RAT, l’attribuant \u00e0 un acteur mena\u00e7ant persistant et avanc\u00e9 qu’elle appelle Hellhounds.<\/p>\n Le malware activement entretenu, en plus de permettre \u00e0 l’adversaire de contr\u00f4ler \u00e0 distance l’h\u00f4te infect\u00e9, est livr\u00e9 avec un scriptlet con\u00e7u pour transmettre des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie \u00e0 un compte \u00ab automatis\u00e9 \u00bb sur Mastodon portant le nom \u00ab Lamir Hasabat \u00bb (@lahat<\/a>) sur l’instance Mindly.Social.<\/p>\n “Apr\u00e8s la publication des documents sur la premi\u00e8re version de Decoy Dog, les auteurs du malware ont d\u00e9ploy\u00e9 beaucoup d’efforts pour entraver sa d\u00e9tection et son analyse \u00e0 la fois dans le trafic et dans le syst\u00e8me de fichiers”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Stanislav Pyzhov et Aleksandr Grigorian. dit<\/a>.<\/p>\n <\/p>\n![\"Attaques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/12\/Les-attaques-de-spear-phishing-de-Cloud-Atlas-ciblent-les-entreprises.jpg\" "\\"Attaques")
<\/a><\/div>\n<\/a><\/center><\/div>\n