L’\u00e9quipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA) a mis en garde contre une nouvelle campagne de phishing orchestr\u00e9e par le groupe russe APT28 visant \u00e0 d\u00e9ployer des logiciels malveillants jusqu’alors non document\u00e9s tels que OCEANMAP, MASEPIE et STEELHOOK afin de r\u00e9colter des informations sensibles.<\/p>\n
L’activit\u00e9, qui \u00e9tait d\u00e9tect\u00e9<\/a> par l’agence entre le 15 et le 25 d\u00e9cembre 2023, cible les entit\u00e9s gouvernementales avec des messages \u00e9lectroniques invitant les destinataires \u00e0 cliquer sur un lien pour consulter un document.<\/p>\n De l’UTILISATEUR \u00e0 l’ADMINISTE\u00a0: d\u00e9couvrez comment les pirates informatiques prennent le contr\u00f4le total<\/p>\n <\/a> <\/p>\n D\u00e9couvrez les tactiques secr\u00e8tes utilis\u00e9es par les pirates pour devenir administrateurs, comment les d\u00e9tecter et les bloquer avant qu’il ne soit trop tard. Inscrivez-vous \u00e0 notre webinaire d\u00e8s aujourd’hui.<\/p>\n Adh\u00e9rer maintenant<\/a> <\/section>\n Cependant, au contraire, les liens redirigent vers des ressources Web malveillantes qui abusent de JavaScript et du gestionnaire de protocole URI \u00ab search-ms: \u00bb pour d\u00e9poser un fichier de raccourci Windows (LNK) qui lance des commandes PowerShell pour activer une cha\u00eene d’infection pour un nouveau malware connu. comme MASEPIE.<\/p>\n MASEPIE est un outil bas\u00e9 sur Python pour t\u00e9l\u00e9charger\/t\u00e9l\u00e9charger des fichiers et ex\u00e9cuter des commandes, les communications avec le serveur de commande et de contr\u00f4le (C2) s’effectuant via un canal crypt\u00e9 utilisant le protocole TCP.<\/p>\n Les attaques ouvrent en outre la voie au d\u00e9ploiement de logiciels malveillants suppl\u00e9mentaires, notamment un script PowerShell appel\u00e9 STEELHOOK, capable de collecter les donn\u00e9es du navigateur Web et de les exporter vers un serveur contr\u00f4l\u00e9 par un acteur au format cod\u00e9 en Base64.<\/p>\n Une porte d\u00e9rob\u00e9e bas\u00e9e sur C# baptis\u00e9e OCEANMAP est \u00e9galement fournie, con\u00e7ue pour ex\u00e9cuter des commandes \u00e0 l’aide de cmd.exe.<\/p>\n “Le Protocole IMAP<\/a> est utilis\u00e9 comme canal de contr\u00f4le”, a d\u00e9clar\u00e9 le CERT-UA, ajoutant que la persistance est obtenue en cr\u00e9ant un fichier URL nomm\u00e9 “VMSearch.url” dans le dossier de d\u00e9marrage de Windows.<\/p>\n “Les commandes, sous forme cod\u00e9e en Base64, sont contenues dans les ‘Brouillons’ des r\u00e9pertoires de messagerie correspondants ; chacun des brouillons contient le nom de l’ordinateur, le nom de l’utilisateur et la version de l’OS. Les r\u00e9sultats des commandes sont stock\u00e9s dans le r\u00e9pertoire de la bo\u00eete de r\u00e9ception.<\/p>\n L’agence a en outre soulign\u00e9 que les activit\u00e9s de reconnaissance et de mouvement lat\u00e9ral sont r\u00e9alis\u00e9es dans l’heure qui suit le compromis initial en tirant parti d’outils tels que Impacket et SMBExec<\/a>.<\/p>\n Cette divulgation intervient quelques semaines apr\u00e8s qu’IBM X-Force a r\u00e9v\u00e9l\u00e9 l’utilisation par APT28 de leurres li\u00e9s \u00e0 la guerre en cours entre Isra\u00ebl et le Hamas pour faciliter la livraison d’une porte d\u00e9rob\u00e9e personnalis\u00e9e appel\u00e9e HeadLace.<\/p>\n Ces derni\u00e8res semaines, le prolifique groupe de piratage soutenu par le Kremlin a \u00e9galement \u00e9t\u00e9 attribu\u00e9 \u00e0 l’exploitation d’une faille de s\u00e9curit\u00e9 critique d\u00e9sormais corrig\u00e9e dans son service de messagerie Outlook (CVE-2023-23397, score CVSS : 9,8) pour obtenir un acc\u00e8s non autoris\u00e9 aux informations des victimes. comptes au sein des serveurs Exchange.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/12\/CERT-UA-decouvre-une-nouvelle-vague-de-logiciels-malveillants-distribuant-OCEANMAP.jpg\")
<\/a><\/center><\/div>\n