Un script Python malveillant appel\u00e9 Exp\u00e9diteur SNS<\/strong> est pr\u00e9sent\u00e9 comme un moyen permettant aux acteurs malveillants d’envoyer des messages de smishing en masse en abusant du service de notification simple d’Amazon Web Services (AWS) (R\u00e9seaux sociaux<\/a>).<\/p>\n Les messages de phishing par SMS sont con\u00e7us pour propager des liens malveillants con\u00e7us pour capturer les informations personnelles identifiables (PII) et les d\u00e9tails de la carte de paiement des victimes, SentinelOne. dit<\/a> dans un nouveau rapport, l’attribuant \u00e0 un acteur mena\u00e7ant nomm\u00e9 ARDUINO_DAS.<\/p>\n “Les escroqueries par smishing prennent souvent la forme d’un message du service postal des \u00c9tats-Unis (USPS) concernant une livraison de colis manqu\u00e9e”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Alex Delamotte.<\/p>\n SNS Sender est \u00e9galement le premier outil observ\u00e9 dans la nature qui exploite AWS SNS pour mener des attaques de spam par SMS. SentinelOne a d\u00e9clar\u00e9 avoir identifi\u00e9 des liens entre ARDUINO_DAS et plus de 150 kits de phishing propos\u00e9s \u00e0 la vente.<\/p>\n Le malware n\u00e9cessite une liste de liens de phishing stock\u00e9s dans un fichier nomm\u00e9 links.txt dans son r\u00e9pertoire de travail, en plus d’une liste de cl\u00e9s d’acc\u00e8s AWS, des num\u00e9ros de t\u00e9l\u00e9phone \u00e0 cibler, de l’ID de l’exp\u00e9diteur (alias nom d’affichage) et du contenu de le message.<\/p>\n L\u2019inclusion obligatoire de l\u2019identifiant de l\u2019exp\u00e9diteur pour l\u2019envoi de textes frauduleux est remarquable car la prise en charge des identifiants de l\u2019exp\u00e9diteur varie d\u2019un pays \u00e0 l\u2019autre. Cela sugg\u00e8re que l’auteur de SNS Sender est probablement originaire d’un pays o\u00f9 l’identification de l’exp\u00e9diteur est une pratique conventionnelle.<\/p>\n “Par exemple, les op\u00e9rateurs aux \u00c9tats-Unis ne prennent pas du tout en charge les identifiants d’exp\u00e9diteur, mais les op\u00e9rateurs en Inde exigent que les exp\u00e9diteurs utilisent des identifiants d’exp\u00e9diteur”, Amazon dit<\/a> dans sa documentation.<\/p>\n Il existe des preuves sugg\u00e9rant que cette op\u00e9ration pourrait \u00eatre active depuis au moins juillet 2022, d’apr\u00e8s les journaux bancaires contenant des r\u00e9f\u00e9rences \u00e0 ARDUINO_DAS qui ont \u00e9t\u00e9 partag\u00e9s sur des forums de cartes comme CraxPro<\/a>.<\/p>\n Une grande majorit\u00e9 des kits de phishing sont sur le th\u00e8me de l’USPS, les campagnes dirigeant les utilisateurs vers de fausses pages de suivi des colis qui les invitent \u00e0 saisir leurs informations personnelles et celles de leur carte de cr\u00e9dit\/d\u00e9bit, comme en t\u00e9moigne le chercheur en s\u00e9curit\u00e9 @JCyberSec_ sur X (anciennement Twitter) dans d\u00e9but septembre 2022.<\/p>\n “Pensez-vous que l’acteur qui d\u00e9ploie sait que tous les kits ont une porte d\u00e9rob\u00e9e cach\u00e9e qui envoie les journaux vers un autre endroit\u00a0?”, poursuit le chercheur. not\u00e9<\/a>.<\/p>\n Au contraire, ce d\u00e9veloppement repr\u00e9sente les tentatives continues des acteurs de la menace des produits de base d’exploiter les environnements cloud pour des campagnes de smishing. En avril 2023, Permiso r\u00e9v\u00e9l\u00e9<\/a> un cluster d’activit\u00e9s qui a profit\u00e9 des cl\u00e9s d’acc\u00e8s AWS pr\u00e9c\u00e9demment expos\u00e9es pour infiltrer les serveurs AWS et envoyer des messages SMS \u00e0 l’aide de SNS.<\/p>\n Les r\u00e9sultats font \u00e9galement suite \u00e0 la d\u00e9couverte d’un nouveau compte-gouttes nomm\u00e9 TicTacToe, probablement vendu comme service \u00e0 des acteurs malveillants et qui a \u00e9t\u00e9 observ\u00e9 comme \u00e9tant utilis\u00e9 pour propager une grande vari\u00e9t\u00e9 de voleurs d’informations et de chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT) ciblant les utilisateurs de Windows tout au long de l’ann\u00e9e 2023.<\/p>\n Fortinet FortiGuard Labs, qui faire la lumi\u00e8re sur le malware<\/a>a d\u00e9clar\u00e9 qu’il est d\u00e9ploy\u00e9 au moyen d’une cha\u00eene d’infection en quatre \u00e9tapes qui commence par un fichier ISO int\u00e9gr\u00e9 dans les messages \u00e9lectroniques.<\/p>\n Un autre exemple pertinent d\u2019acteurs malveillants qui innovent continuellement dans leurs tactiques concerne l\u2019utilisation de r\u00e9seaux publicitaires pour organiser des campagnes de spam efficaces et d\u00e9ployer des logiciels malveillants tels que DarkGate.<\/p>\n “L’acteur malveillant a cr\u00e9\u00e9 des liens via un r\u00e9seau publicitaire pour \u00e9chapper \u00e0 la d\u00e9tection et capturer des analyses sur ses victimes”, HP Wolf Security dit<\/a>. “Les campagnes ont \u00e9t\u00e9 lanc\u00e9es via des pi\u00e8ces jointes PDF malveillantes se faisant passer pour des messages d’erreur OneDrive, conduisant au malware.”<\/p>\n La branche infosec du fabricant de PC a \u00e9galement soulign\u00e9 l’utilisation abusive de plates-formes l\u00e9gitimes comme Discord pour cr\u00e9er et distribuer des logiciels malveillants, une tendance qui est devenue de plus en plus courante ces derni\u00e8res ann\u00e9es, incitant l’entreprise \u00e0 passer \u00e0 des liens de fichiers temporaires d’ici la fin de l’ann\u00e9e derni\u00e8re.<\/p>\n “Discord est connu pour son infrastructure robuste et fiable, et il jouit d’une grande confiance”, Intel 471 dit<\/a>. “Les organisations autorisent souvent Discord sur liste, ce qui signifie que les liens et les connexions vers celui-ci ne sont pas restreints. Cela rend sa popularit\u00e9 parmi les acteurs malveillants sans surprise compte tenu de sa r\u00e9putation et de son utilisation g\u00e9n\u00e9ralis\u00e9e.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Un-script-malveillant-SNS-Sender-abuse-dAWS-pour-des-attaques.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n