L’\u00e9quipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA) a averti que plus de 2 000 ordinateurs dans le pays ont \u00e9t\u00e9 infect\u00e9s par une souche de malware appel\u00e9e DirtyMoe.<\/p>\n
L’agence attribu\u00e9<\/a> la campagne contre un acteur mena\u00e7ant qu’elle appelle UAC-0027<\/strong>.<\/p>\n DirtyMoe, actif depuis au moins 2016, est capable de mener des attaques de cryptojacking et de d\u00e9ni de service distribu\u00e9 (DDoS). En mars 2022, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Avast a r\u00e9v\u00e9l\u00e9 la capacit\u00e9 du malware \u00e0 se propager \u00e0 la mani\u00e8re d’un ver en profitant de failles de s\u00e9curit\u00e9 connues.<\/p>\n Le botnet DDoS est connu pour \u00eatre diffus\u00e9 au moyen d’un autre malware appel\u00e9 Purple Fox ou via de faux packages d’installation MSI pour des logiciels populaires tels que Telegram. Purple Fox est aussi \u00e9quip\u00e9 d’un rootkit<\/a> qui permet aux acteurs de la menace de cacher le malware<\/a> sur la machine et la rendent difficile \u00e0 d\u00e9tecter et \u00e0 retirer.<\/p>\n Le vecteur d\u2019acc\u00e8s initial exact utilis\u00e9 dans la campagne ciblant l\u2019Ukraine est actuellement inconnu. Le CERT-UA recommande aux organisations de maintenir leurs syst\u00e8mes \u00e0 jour, d’appliquer la segmentation du r\u00e9seau et de surveiller le trafic r\u00e9seau pour d\u00e9tecter toute activit\u00e9 anormale.<\/p>\n Cette divulgation intervient alors que Securonix a d\u00e9taill\u00e9 une campagne de phishing en cours connue sous le nom de STEADY#URSA, ciblant le personnel militaire ukrainien dans le but de fournir une porte d\u00e9rob\u00e9e PowerShell sur mesure baptis\u00e9e SUBTLE-PAWS.<\/p>\n “La cha\u00eene d’exploitation est relativement simple\u00a0: elle implique que la cible ex\u00e9cute un fichier de raccourci malveillant (.lnk) qui charge et ex\u00e9cute un nouveau code de charge utile de porte d\u00e9rob\u00e9e PowerShell (trouv\u00e9 dans un autre fichier contenu dans la m\u00eame archive)”, chercheurs en s\u00e9curit\u00e9 Den Iuzvyk, Tim Peck et Oleg Kolesnikov dit<\/a>.<\/p>\n L’attaque serait li\u00e9e \u00e0 un acteur mena\u00e7ant connu sous le nom de Shuckworm, \u00e9galement connu sous les noms d’Aqua Blizzard (anciennement Actinium), Armageddon, Gamaredon, Iron Tilden, Primitive Bear, Trident Ursa, UNC530 et Winterflounder. Actif depuis au moins 2013, il est consid\u00e9r\u00e9 comme faisant partie du Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 (FSB) russe.<\/p>\n SUBTLE-PAWS, en plus de mettre en place la persistance sur l’h\u00f4te, utilise la plateforme de blogs de Telegram appel\u00e9e Telegraph pour r\u00e9cup\u00e9rer les informations de commande et de contr\u00f4le (C2), une technique pr\u00e9c\u00e9demment identifi\u00e9e comme associ\u00e9e \u00e0 l’adversaire depuis d\u00e9but 2023, et peut se propager via lecteurs connect\u00e9s amovibles.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-logiciel-malveillant-DirtyMoe-infecte-plus-de-2-000-ordinateurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n