Les t\u00e9l\u00e9communications, les m\u00e9dias, les fournisseurs d’acc\u00e8s Internet (FAI), les fournisseurs de services informatiques et les sites Web kurdes aux Pays-Bas ont \u00e9t\u00e9 cibl\u00e9s dans le cadre d’une nouvelle campagne de cyberespionnage entreprise par un acteur mena\u00e7ant li\u00e9 \u00e0 la Turquie connu sous le nom de Tortue de mer<\/strong>.<\/p>\n “L’infrastructure des cibles \u00e9tait sensible aux attaques de cha\u00eene d’approvisionnement et d’\u00eele en \u00eele, que le groupe d’attaque a utilis\u00e9es pour collecter des informations \u00e0 motivation politique telles que des informations personnelles sur des groupes minoritaires et d’\u00e9ventuelles dissidences politiques”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 n\u00e9erlandaise Hunt & Hackett. dit<\/a> dans une analyse de vendredi.<\/p>\n “Les informations vol\u00e9es sont susceptibles d’\u00eatre exploit\u00e9es \u00e0 des fins de surveillance ou de collecte de renseignements sur des groupes et\/ou des individus sp\u00e9cifiques.”<\/p>\n Sea Turtle, \u00e9galement connue sous les noms de Cosmic Wolf, Marbled Dust (anciennement Silicon), Teal Kurma et UNC1326, \u00e9tait document\u00e9 pour la premi\u00e8re fois<\/a> par Cisco Talos en avril 2019, d\u00e9taillant attaques parrain\u00e9es par l’\u00c9tat<\/a> ciblant les entit\u00e9s publiques et priv\u00e9es du Moyen-Orient et de l\u2019Afrique du Nord.<\/p>\n Les activit\u00e9s associ\u00e9es au groupe seraient en cours depuis janvier 2017, tirant principalement parti D\u00e9tournement DNS<\/a> pour rediriger les cibles potentielles tentant d’interroger un domaine sp\u00e9cifique vers un serveur contr\u00f4l\u00e9 par un acteur capable de r\u00e9colter leurs informations d’identification.<\/p>\n “La campagne contre les tortues marines constitue presque certainement une menace plus grave que Espionnage DNS<\/a> compte tenu de la m\u00e9thodologie utilis\u00e9e par l’acteur pour cibler divers bureaux d’enregistrement et registres DNS”, avait d\u00e9clar\u00e9 Talos \u00e0 l’\u00e9poque.<\/p>\n Fin 2021, Microsoft not\u00e9<\/a> que l’adversaire effectue une collecte de renseignements pour r\u00e9pondre aux int\u00e9r\u00eats strat\u00e9giques turcs dans des pays comme l’Arm\u00e9nie, Chypre, la Gr\u00e8ce, l’Irak et la Syrie, frappant des soci\u00e9t\u00e9s de t\u00e9l\u00e9communications et d’informatique dans le but de \u00ab prendre pied en amont de leur cible souhait\u00e9e \u00bb via l’exploitation de vuln\u00e9rabilit\u00e9s connues .<\/p>\n Puis le mois dernier, il a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 que l\u2019adversaire utilisait un simple shell TCP invers\u00e9 pour les syst\u00e8mes Linux (et Unix) appel\u00e9 SnappyTCP lors d\u2019attaques men\u00e9es entre 2021 et 2023, selon l\u2019\u00e9quipe Threat Intelligence de PricewaterhouseCoopers (PwC).<\/p>\n “Le shell Web est un simple shell TCP invers\u00e9 pour Linux\/Unix dot\u00e9 de fonctionnalit\u00e9s de base [command-and-control] capacit\u00e9s, et est \u00e9galement probablement utilis\u00e9 pour \u00e9tablir la persistance \u00bb, la soci\u00e9t\u00e9 dit<\/a>. “Il existe au moins deux variantes principales\u00a0: l’une qui utilise OpenSSL pour cr\u00e9er une connexion s\u00e9curis\u00e9e via TLS, tandis que l’autre omet cette capacit\u00e9 et envoie des requ\u00eates en texte clair.”<\/p>\n Les derni\u00e8res d\u00e9couvertes de Hunt & Hackett montrent que Sea Turtle continue d’\u00eatre un groupe furtif ax\u00e9 sur l’espionnage, appliquant des techniques d’\u00e9vasion de d\u00e9fense pour passer sous le radar et r\u00e9colter des archives de courrier \u00e9lectronique.<\/p>\n Dans l’une des attaques observ\u00e9es en 2023, un compte cPanel compromis mais l\u00e9gitime a \u00e9t\u00e9 utilis\u00e9 comme vecteur d’acc\u00e8s initial pour d\u00e9ployer SnappyTCP sur le syst\u00e8me. On ne sait actuellement pas comment les attaquants ont obtenu les informations d’identification.<\/p>\n “\u00c0 l’aide de SnappyTCP, l’acteur malveillant a envoy\u00e9 des commandes au syst\u00e8me pour cr\u00e9er une copie d’une archive de courrier \u00e9lectronique cr\u00e9\u00e9e avec l’outil tar, dans le r\u00e9pertoire Web public du site Web accessible depuis Internet”, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n “Il est fort probable que l’auteur de la menace ait exfiltr\u00e9 les archives de courrier \u00e9lectronique en t\u00e9l\u00e9chargeant le fichier directement \u00e0 partir du r\u00e9pertoire Web.”<\/p>\n Pour att\u00e9nuer les risques pos\u00e9s par de telles attaques, il est conseill\u00e9 aux organisations d’appliquer des politiques de mots de passe fortes, de mettre en \u0153uvre une authentification \u00e0 deux facteurs (2FA), tentatives de connexion \u00e0 la limite de d\u00e9bit<\/a> pour r\u00e9duire les risques de tentatives de force brute, surveiller le trafic SSH et maintenir tous les syst\u00e8mes et logiciels \u00e0 jour.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/La-campagne-de-cyberespionnage-Sea-Turtle-cible-les-societes-neerlandaises.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n