L’acteur malveillant connu sous le nom d’UAC-0050 exploite les attaques de phishing pour distribuer Remcos RAT en utilisant de nouvelles strat\u00e9gies pour \u00e9chapper \u00e0 la d\u00e9tection des logiciels de s\u00e9curit\u00e9.<\/p>\n
“L’arme de pr\u00e9dilection du groupe est Remcos RAT, un malware notoire pour la surveillance et le contr\u00f4le \u00e0 distance, qui est \u00e0 la pointe de son arsenal d’espionnage”, ont d\u00e9clar\u00e9 Karthick Kumar et Shilpesh Trivedi, chercheurs en s\u00e9curit\u00e9 chez Uptycs. dit<\/a> dans un rapport de mercredi.<\/p>\n “Cependant, dans sa derni\u00e8re \u00e9volution op\u00e9rationnelle, le groupe UAC-0050 a int\u00e9gr\u00e9 une m\u00e9thode de canalisation pour communication interprocessus<\/a>d\u00e9montrant leur adaptabilit\u00e9 avanc\u00e9e.<\/p>\n UAC-0050, actif depuis 2020, cible depuis longtemps des entit\u00e9s ukrainiennes et polonaises via des campagnes d’ing\u00e9nierie sociale qui usurpent l’identit\u00e9 d’organisations l\u00e9gitimes pour inciter les destinataires \u00e0 ouvrir des pi\u00e8ces jointes malveillantes.<\/p>\n En f\u00e9vrier 2023, l\u2019\u00e9quipe ukrainienne d\u2019intervention en cas d\u2019urgence informatique (CERT-UA) a attribu\u00e9 l\u2019adversaire \u00e0 une campagne de phishing con\u00e7ue pour d\u00e9livrer Remcos RAT.<\/p>\n Au cours des derniers mois, le m\u00eame cheval de Troie a \u00e9t\u00e9 distribu\u00e9 dans le cadre d’au moins trois vagues de phishing diff\u00e9rentes, l’une de ces attaques ayant \u00e9galement conduit au d\u00e9ploiement d’un voleur d’informations appel\u00e9 Meduza Stealer.<\/p>\n L’analyse d’Uptycs est bas\u00e9e sur un fichier LNK d\u00e9couvert le 21 d\u00e9cembre 2023. Bien que le vecteur d’acc\u00e8s initial exact soit actuellement inconnu, il est soup\u00e7onn\u00e9 d’avoir impliqu\u00e9 des e-mails de phishing ciblant le personnel militaire ukrainien pr\u00e9tendant annoncer des postes de consultant aupr\u00e8s de l’arm\u00e9e isra\u00e9lienne. (FDI).<\/p>\n Le fichier LNK en question collecte des informations sur les produits antivirus install\u00e9s sur l’ordinateur cible, puis proc\u00e8de \u00e0 la r\u00e9cup\u00e9ration et \u00e0 l’ex\u00e9cution d’une application HTML nomm\u00e9e \u00ab 6.hta \u00bb \u00e0 partir d’un serveur distant \u00e0 l’aide de mshta.exe<\/a>un binaire natif Windows pour ex\u00e9cuter des fichiers HTA.<\/p>\n Cette \u00e9tape ouvre la voie \u00e0 un script PowerShell qui d\u00e9compresse un autre script PowerShell pour t\u00e9l\u00e9charger deux fichiers appel\u00e9s \u00ab word_update.exe \u00bb et \u00ab ofer.docx \u00bb \u00e0 partir du domaine new-tech-savvy.[.]com.<\/p>\n L’ex\u00e9cution de word_update.exe l’am\u00e8ne \u00e0 cr\u00e9er une copie de lui-m\u00eame avec le nom fmTask_dbg.exe et \u00e0 \u00e9tablir la persistance en cr\u00e9ant un raccourci vers le nouvel ex\u00e9cutable dans le dossier de d\u00e9marrage de Windows.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Le-groupe-UAC-0050-utilise-de-nouvelles-tactiques-de-phishing-pour.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n