L’acteur mena\u00e7ant li\u00e9 \u00e0 la Russie, connu sous le nom de Turla, a \u00e9t\u00e9 observ\u00e9 en train d’utiliser une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e TinyTurla-NG<\/strong> dans le cadre d’une campagne de trois mois ciblant les organisations non gouvernementales polonaises en d\u00e9cembre 2023.<\/p>\n “TinyTurla-NG, tout comme TinyTurla, est une petite porte d\u00e9rob\u00e9e de la derni\u00e8re chance qui est laiss\u00e9e pour \u00eatre utilis\u00e9e lorsque tous les autres m\u00e9canismes d’acc\u00e8s\/porte d\u00e9rob\u00e9e non autoris\u00e9s ont \u00e9chou\u00e9 ou ont \u00e9t\u00e9 d\u00e9tect\u00e9s sur les syst\u00e8mes infect\u00e9s”, Cisco Talos dit<\/a> dans un rapport technique publi\u00e9 aujourd’hui.<\/p>\n TinyTurla-NG doit son nom \u00e0 ses similitudes avec TinyTurla, un autre implant utilis\u00e9 par le collectif adverse lors d’intrusions visant les \u00c9tats-Unis, l’Allemagne et l’Afghanistan depuis au moins 2020. TinyTurla a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 en septembre 2021.<\/p>\n Turla, \u00e9galement connu sous les noms d’Iron Hunter, Pensive Ursa, Secret Blizzard (anciennement Krypton), Snake, Uroburos et Venomous Bear, est un acteur mena\u00e7ant affili\u00e9 \u00e0 l’\u00c9tat russe et li\u00e9 au Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 (FSB).<\/p>\n Ces derniers mois, l’acteur malveillant a cibl\u00e9 le secteur de la d\u00e9fense en Ukraine et en Europe de l’Est avec une nouvelle porte d\u00e9rob\u00e9e bas\u00e9e sur .NET appel\u00e9e DeliveryCheck, tout en mettant \u00e0 niveau son implant de deuxi\u00e8me \u00e9tape de base appel\u00e9 Kazuar, qu’il a utilis\u00e9 comme d\u00e8s 2017.<\/p>\n La derni\u00e8re campagne impliquant TinyTurla-NG remonte au 18 d\u00e9cembre 2023 et se serait poursuivie jusqu’au 27 janvier 2024. Cependant, on soup\u00e7onne que l’activit\u00e9 aurait pu effectivement commencer en novembre 2023 sur la base des dates de compilation des logiciels malveillants.<\/p>\n On ne sait pas actuellement comment la porte d\u00e9rob\u00e9e est distribu\u00e9e aux environnements victimes, mais il a \u00e9t\u00e9 constat\u00e9 qu’elle utilise des sites Web WordPress compromis comme points de terminaison de commande et de contr\u00f4le (C2) pour r\u00e9cup\u00e9rer et ex\u00e9cuter des instructions, lui permettant d’ex\u00e9cuter des commandes via PowerShell ou Command. Invite (cmd.exe) ainsi que t\u00e9l\u00e9chargement\/t\u00e9l\u00e9chargement de fichiers.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Les-pirates-informatiques-russes-de-Turla-ciblent-les-ONG-polonaises.jpg\")
<\/a><\/center><\/div>\n