L’acteur mena\u00e7ant li\u00e9 \u00e0 la Russie, connu sous le nom de COLDRIVER<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’\u00e9voluer pour aller au-del\u00e0 de la collecte d’informations d’identification et proposer son tout premier malware personnalis\u00e9 \u00e9crit dans le langage de programmation Rust.<\/p>\n Le Threat Analysis Group (TAG) de Google, qui d\u00e9tails partag\u00e9s<\/a> de la derni\u00e8re activit\u00e9, a d\u00e9clar\u00e9 que les cha\u00eenes d’attaque exploitent les PDF comme documents leurres pour d\u00e9clencher la s\u00e9quence d’infection. Les leurres sont envoy\u00e9s \u00e0 partir de comptes d\u2019usurpation d\u2019identit\u00e9.<\/p>\n COLDRIVER, \u00e9galement connu sous les noms de Blue Callisto, BlueCharlie (ou TAG-53), Calisto (alternativement orthographi\u00e9 Callisto), Gossamer Bear, Star Blizzard (anciennement SEABORGIUM), TA446 et UNC4057, est connu pour \u00eatre actif depuis 2019, ciblant un large gamme de secteurs.<\/p>\n Cela inclut le monde universitaire, la d\u00e9fense, les organisations gouvernementales, les ONG, les groupes de r\u00e9flexion, les groupes politiques et, r\u00e9cemment, les cibles industrielles de d\u00e9fense et les installations \u00e9nerg\u00e9tiques.<\/p>\n “Les cibles au Royaume-Uni et aux \u00c9tats-Unis semblent avoir \u00e9t\u00e9 les plus touch\u00e9es par l’activit\u00e9 de Star Blizzard, mais des activit\u00e9s ont \u00e9galement \u00e9t\u00e9 observ\u00e9es contre des cibles dans d’autres pays de l’OTAN et dans des pays voisins de la Russie”, a r\u00e9v\u00e9l\u00e9 le gouvernement am\u00e9ricain le mois dernier.<\/p>\n Les campagnes de spear phishing organis\u00e9es par le groupe sont con\u00e7ues pour engager et renforcer la confiance avec les victimes potentielles dans le but ultime de partager de fausses pages de connexion afin de r\u00e9colter leurs informations d’identification et d’acc\u00e9der aux comptes.<\/p>\n Microsoft, dans une analyse des tactiques de COLDRIVER, a soulign\u00e9 son utilisation de scripts c\u00f4t\u00e9 serveur pour emp\u00eacher l’analyse automatis\u00e9e de l’infrastructure contr\u00f4l\u00e9e par les acteurs et d\u00e9terminer les cibles d’int\u00e9r\u00eat, avant de les rediriger vers les pages de destination de phishing.<\/p>\n Les derni\u00e8res d\u00e9couvertes de Google TAG montrent que l\u2019acteur malveillant a utilis\u00e9 des documents PDF inoffensifs comme point de d\u00e9part d\u00e8s novembre 2022 pour inciter les cibles \u00e0 ouvrir les fichiers.<\/p>\n “COLDRIVER pr\u00e9sente ces documents comme un nouvel article d’opinion ou un autre type d’article que le compte d’usurpation d’identit\u00e9 cherche \u00e0 publier, sollicitant les commentaires de la cible”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. “Lorsque l’utilisateur ouvre le PDF inoffensif, le texte appara\u00eet crypt\u00e9.”<\/p>\n Dans le cas o\u00f9 le destinataire r\u00e9pond au message indiquant qu’il ne peut pas lire le document, l’acteur malveillant r\u00e9pond avec un lien vers un pr\u00e9tendu outil de d\u00e9cryptage (\u00ab Proton-decrypter.exe \u00bb) h\u00e9berg\u00e9 sur un service de stockage cloud.<\/p>\n Le choix du nom \u00ab Proton-decrypter.exe \u00bb est remarquable car Microsoft avait pr\u00e9c\u00e9demment r\u00e9v\u00e9l\u00e9 que l’adversaire utilisait principalement Proton Drive pour envoyer les leurres PDF via les messages de phishing.<\/p>\n En r\u00e9alit\u00e9, le d\u00e9crypteur est une porte d\u00e9rob\u00e9e nomm\u00e9e SPICA qui accorde \u00e0 COLDRIVER un acc\u00e8s secret \u00e0 la machine, tout en affichant simultan\u00e9ment un document leurre pour maintenir la ruse.<\/p>\n Des d\u00e9couvertes ant\u00e9rieures de WithSecure (anciennement F-Secure) ont r\u00e9v\u00e9l\u00e9 l’utilisation par l’acteur malveillant d’une porte d\u00e9rob\u00e9e l\u00e9g\u00e8re appel\u00e9e Scout, un outil malveillant de la plateforme de piratage Galileo HackingTeam Remote Control System (RCS), dans le cadre de campagnes de phishing observ\u00e9es d\u00e9but 2016.<\/p>\n Scout est “destin\u00e9 \u00e0 \u00eatre utilis\u00e9 comme un outil de reconnaissance initial pour recueillir des informations de base sur le syst\u00e8me et des captures d’\u00e9cran d’un ordinateur compromis, ainsi que pour permettre l’installation de logiciels malveillants suppl\u00e9mentaires”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 finlandaise de cybers\u00e9curit\u00e9. not\u00e9<\/a> \u00e0 l’\u00e9poque.<\/p>\n SPICA, qui est le premier malware personnalis\u00e9 d\u00e9velopp\u00e9 et utilis\u00e9 par COLDRIVER, utilise JSON sur WebSockets pour le commandement et le contr\u00f4le (C2), facilitant l’ex\u00e9cution de commandes shell arbitraires, le vol de cookies \u00e0 partir de navigateurs Web, le t\u00e9l\u00e9chargement et le t\u00e9l\u00e9chargement de fichiers et l’\u00e9num\u00e9ration. et exfiltration de fichiers. La persistance est obtenue au moyen d’une t\u00e2che planifi\u00e9e.<\/p>\n “Une fois ex\u00e9cut\u00e9, SPICA d\u00e9code un PDF int\u00e9gr\u00e9, l’\u00e9crit sur le disque et l’ouvre comme un leurre pour l’utilisateur”, a d\u00e9clar\u00e9 Google TAG. “En arri\u00e8re-plan, il \u00e9tablit la persistance et d\u00e9marre la boucle principale C2, en attendant l’ex\u00e9cution des commandes.”<\/p>\n Il existe des preuves sugg\u00e9rant que l’utilisation de l’implant par l’acteur \u00e9tatique remonte \u00e0 novembre 2022, avec le service de cybers\u00e9curit\u00e9 plusieurs variantes du leurre PDF \u00ab crypt\u00e9 \u00bb, indiquant qu’il pourrait y avoir diff\u00e9rentes versions de SPICA pour correspondre au document de leurre. envoy\u00e9s aux cibles.<\/p>\n Dans le cadre de ses efforts pour perturber la campagne et emp\u00eacher toute exploitation ult\u00e9rieure, Google TAG a d\u00e9clar\u00e9 avoir ajout\u00e9 tous les sites Web, domaines et fichiers connus associ\u00e9s \u00e0 l’\u00e9quipe de piratage informatique. Listes de blocage de la navigation s\u00e9curis\u00e9e<\/a>.<\/p>\n Cette \u00e9volution intervient plus d’un mois apr\u00e8s que les gouvernements britannique et am\u00e9ricain ont sanctionn\u00e9 deux membres russes de COLDRIVER, Ruslan Aleksandrovich Peretyatko et Andrey Stanislavovich Korinets, pour leur implication dans la conduite des op\u00e9rations de spear phishing.<\/p>\n La soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9 Sekoia a depuis rendu public les liens entre Korinets et l’infrastructure connue utilis\u00e9e par le groupe, qui comprend des dizaines de domaines de phishing et plusieurs serveurs.<\/p>\n “Calisto contribue aux efforts des services de renseignement russes pour soutenir les int\u00e9r\u00eats strat\u00e9giques de Moscou”, affirme la soci\u00e9t\u00e9 dit<\/a>. “Il semble que l’enregistrement de domaine ait \u00e9t\u00e9 l’un des [Korinets’] principales comp\u00e9tences, vraisemblablement utilis\u00e9es par les renseignements russes, soit directement, soit par le biais d’une relation contractuelle.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Les-pirates-russes-COLDRIVER-vont-au-dela-du-phishing-avec-des.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n