Les institutions financi\u00e8res mexicaines sont sous le radar d’une nouvelle campagne de spear phishing qui propose une version modifi\u00e9e d’un cheval de Troie open source d’acc\u00e8s \u00e0 distance appel\u00e9 AllaKore RAT<\/a>.<\/p>\n L’\u00e9quipe de recherche et de renseignement de BlackBerry a attribu\u00e9 l’activit\u00e9 \u00e0 un acteur malveillant inconnu bas\u00e9 en Am\u00e9rique latine et motiv\u00e9 par des raisons financi\u00e8res. La campagne est active depuis au moins 2021.<\/p>\n “Les leurres utilisent des sch\u00e9mas de d\u00e9nomination et des liens vers des documents l\u00e9gitimes et inoffensifs pendant le processus d’installation de l’Institut mexicain de s\u00e9curit\u00e9 sociale (IMSS),” la soci\u00e9t\u00e9 canadienne dit<\/a> dans une analyse publi\u00e9e plus t\u00f4t cette semaine.<\/p>\n “La charge utile AllaKore RAT est fortement modifi\u00e9e pour permettre aux acteurs malveillants de renvoyer des informations d’identification bancaires vol\u00e9es et des informations d’authentification uniques \u00e0 un serveur de commande et de contr\u00f4le (C2) \u00e0 des fins de fraude financi\u00e8re.”<\/p>\n Les attaques semblent \u00eatre con\u00e7ues pour cibler particuli\u00e8rement les grandes entreprises dont les revenus bruts d\u00e9passent 100 millions de dollars. Les entit\u00e9s cibl\u00e9es couvrent les secteurs de la vente au d\u00e9tail, de l’agriculture, du secteur public, de la fabrication, des transports, des services commerciaux, des biens d’\u00e9quipement et de la banque.<\/p>\n La cha\u00eene d’infection commence par un fichier ZIP distribu\u00e9 via phishing ou compromission drive-by, qui contient un fichier d’installation MSI qui d\u00e9pose un t\u00e9l\u00e9chargeur .NET charg\u00e9 de confirmer la g\u00e9olocalisation mexicaine de la victime et de r\u00e9cup\u00e9rer le RAT AllaKore modifi\u00e9, un fichier Delphi. -RAT bas\u00e9 sur la premi\u00e8re observation en 2015.<\/p>\n “AllaKore RAT, bien que quelque peu basique, poss\u00e8de de puissantes capacit\u00e9s d’enregistrement de frappe, de capture d’\u00e9cran, de t\u00e9l\u00e9chargement\/t\u00e9l\u00e9chargement de fichiers et m\u00eame de prendre le contr\u00f4le \u00e0 distance de la machine de la victime”, a d\u00e9clar\u00e9 BlackBerry.<\/p>\n Les nouvelles fonctions ajout\u00e9es au malware par l’acteur malveillant incluent la prise en charge des commandes li\u00e9es \u00e0 la fraude bancaire, le ciblage des banques mexicaines et des plateformes de trading de crypto, le lancement d’un shell invers\u00e9, l’extraction du contenu du presse-papiers et la r\u00e9cup\u00e9ration et l’ex\u00e9cution de charges utiles suppl\u00e9mentaires.<\/p>\n Les liens de l’acteur mena\u00e7ant avec l’Am\u00e9rique latine proviennent de l’utilisation des adresses IP Starlink du Mexique utilis\u00e9es dans la campagne, ainsi que de l’ajout d’instructions en espagnol \u00e0 la charge utile RAT modifi\u00e9e. De plus, les leurres utilis\u00e9s ne fonctionnent que pour des entreprises suffisamment grandes pour d\u00e9pendre directement de l’Institut mexicain de s\u00e9curit\u00e9 sociale (IMSS<\/a>) d\u00e9partement.<\/p>\n “Cet acteur mena\u00e7ant cible constamment les entit\u00e9s mexicaines \u00e0 des fins de gain financier”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Cette activit\u00e9 se poursuit depuis plus de deux ans et ne montre aucun signe d’arr\u00eat.”<\/p>\n Les r\u00e9sultats arrivent alors que IOActive dit<\/a> il a identifi\u00e9 trois vuln\u00e9rabilit\u00e9s dans les guichets automatiques bitcoin Lamassu Douro (CVE-2024-0175, CVE-2024-0176 et CVE-2024-0177) qui pourraient permettre \u00e0 un attaquant disposant d’un acc\u00e8s physique de prendre le contr\u00f4le total des appareils et de voler les actifs des utilisateurs.<\/p>\n Les attaques sont rendues possibles en exploitant le m\u00e9canisme de mise \u00e0 jour logicielle du guichet automatique et la capacit\u00e9 de l’appareil \u00e0 lire les codes QR pour fournir son propre fichier malveillant et d\u00e9clencher l’ex\u00e9cution de code arbitraire. Les probl\u00e8mes \u00e9taient fix\u00e9<\/a> par l\u2019entreprise suisse en octobre 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Le-logiciel-malveillant-AllaKore-RAT-cible-les-entreprises-mexicaines-avec.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n