Un acteur mena\u00e7ant motiv\u00e9 par des raisons financi\u00e8res, connu sous le nom de UNC4990<\/strong> exploite les p\u00e9riph\u00e9riques USB arm\u00e9s comme vecteur d’infection initial pour cibler les organisations en Italie.<\/p>\n Mandiant, propri\u00e9t\u00e9 de Google, a d\u00e9clar\u00e9 que les attaques ciblent plusieurs secteurs, notamment la sant\u00e9, les transports, la construction et la logistique.<\/p>\n “Les op\u00e9rations UNC4990 impliquent g\u00e9n\u00e9ralement une infection USB g\u00e9n\u00e9ralis\u00e9e suivie du d\u00e9ploiement du t\u00e9l\u00e9chargeur EMPTYSPACE”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. dit<\/a> dans un rapport de mardi.<\/p>\n “Au cours de ces op\u00e9rations, le cluster s’appuie sur des sites Web tiers tels que GitHub, Vimeo et Ars Technica pour h\u00e9berger des \u00e9tapes suppl\u00e9mentaires cod\u00e9es, qu’il t\u00e9l\u00e9charge et d\u00e9code via PowerShell au d\u00e9but de la cha\u00eene d’ex\u00e9cution.”<\/p>\n L\u2019UNC4990, actif depuis fin 2020, fonctionnerait depuis l\u2019Italie sur la base de l\u2019utilisation intensive de l\u2019infrastructure italienne \u00e0 des fins de commandement et de contr\u00f4le (C2).<\/p>\n On ne sait pas actuellement si l’UNC4990 fonctionne uniquement comme un facilitateur d’acc\u00e8s initial pour d’autres acteurs. L\u2019objectif final de l\u2019auteur de la menace n\u2019est pas clair, m\u00eame si dans un cas, un mineur de cryptomonnaie open source aurait \u00e9t\u00e9 d\u00e9ploy\u00e9 apr\u00e8s des mois d\u2019activit\u00e9 de balisage.<\/p>\n Les d\u00e9tails de la campagne ont \u00e9t\u00e9 pr\u00e9c\u00e9demment document\u00e9s par Fortgale<\/a> et Yoroi<\/a> d\u00e9but d\u00e9cembre 2023, le premier traquant l\u2019adversaire sous le nom de Nebula Broker.<\/p>\n L’infection commence lorsqu’une victime double-clique sur un fichier de raccourci LNK malveillant sur un p\u00e9riph\u00e9rique USB amovible, conduisant \u00e0 l’ex\u00e9cution d’un script PowerShell charg\u00e9 de t\u00e9l\u00e9charger EMPTYSPACE (alias BrokerLoader ou Vetta Loader) depuis un serveur distant via un autre script PowerShell interm\u00e9diaire. h\u00e9berg\u00e9 sur Vimeo.<\/p>\n Yoroi a d\u00e9clar\u00e9 avoir identifi\u00e9 quatre variantes diff\u00e9rentes d’EMPTYSPACE \u00e9crites en Golang, .NET, Node.js et Python, qui servent ensuite de canal pour r\u00e9cup\u00e9rer les charges utiles de l’\u00e9tape suivante via HTTP \u00e0 partir du serveur C2, y compris une porte d\u00e9rob\u00e9e baptis\u00e9e QUIETBOARD.<\/p>\n Un aspect notable de cette phase est l\u2019utilisation de sites populaires comme Ars Technica, GitHub, GitLab et Vimeo pour h\u00e9berger la charge utile malveillante.<\/p>\n “Le contenu h\u00e9berg\u00e9 sur ces services ne pr\u00e9sentait aucun risque direct pour les utilisateurs quotidiens de ces services, car le contenu h\u00e9berg\u00e9 de mani\u00e8re isol\u00e9e \u00e9tait totalement inoffensif”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant. “Quiconque aurait cliqu\u00e9 ou consult\u00e9 ce contenu par inadvertance dans le pass\u00e9 ne risquait pas d’\u00eatre compromis.”<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Des-entreprises-italiennes-touchees-par-des-cles-USB-militarisees-propageant.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n