L’acteur mena\u00e7ant d’origine iranienne connu sous le nom de Charming Kitten a \u00e9t\u00e9 associ\u00e9 \u00e0 une nouvelle s\u00e9rie d’attaques visant des experts politiques du Moyen-Orient avec une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e BASICSTAR<\/strong> en cr\u00e9ant un faux portail de webinaire.<\/p>\n Charming Kitten, \u00e9galement appel\u00e9 APT35, CharmingCypress, Mint Sandstorm, TA453 et Yellow Garuda, a l’habitude d’orchestrer un large \u00e9ventail de campagnes d’ing\u00e9nierie sociale qui visent un large r\u00e9seau de ciblage, ciblant souvent des groupes de r\u00e9flexion, des ONG et des journalistes.<\/p>\n “CharmingCypress utilise souvent des tactiques d’ing\u00e9nierie sociale inhabituelles, comme engager des cibles dans des conversations prolong\u00e9es par courrier \u00e9lectronique avant d’envoyer des liens vers du contenu malveillant”, ont d\u00e9clar\u00e9 les chercheurs de Volexity Ankur Saini, Callum Roxan, Charlie Gardner et Damien Cash. dit<\/a>.<\/p>\n Le mois dernier, Microsoft a r\u00e9v\u00e9l\u00e9 que des personnalit\u00e9s travaillant sur les affaires du Moyen-Orient avaient \u00e9t\u00e9 cibl\u00e9es par l’adversaire pour d\u00e9ployer des logiciels malveillants tels que MischiefTut et MediaPl (alias EYEGLASS), capables de collecter des informations sensibles sur un h\u00f4te compromis.<\/p>\n Le groupe, consid\u00e9r\u00e9 comme affili\u00e9 au Corps des Gardiens de la r\u00e9volution islamique (CGRI), a \u00e9galement distribu\u00e9 plusieurs autres portes d\u00e9rob\u00e9es telles que PowerLess, BellaCiao, POWERSTAR (alias GorjolEcho) et NokNok au cours de l’ann\u00e9e \u00e9coul\u00e9e, soulignant sa d\u00e9termination \u00e0 poursuivre sa cyberattaque. , adaptant ses tactiques et ses m\u00e9thodes malgr\u00e9 l\u2019exposition du public.<\/p>\n Les attaques de phishing observ\u00e9es entre septembre et octobre 2023 impliquaient les op\u00e9rateurs de Charming Kitten se faisant passer pour l’Institut international Rasanah d’\u00e9tudes iraniennes (IIIS) pour initier et \u00e9tablir la confiance avec les cibles.<\/p>\n Les tentatives de phishing se caract\u00e9risent \u00e9galement par l’utilisation de comptes de messagerie compromis appartenant \u00e0 des contacts l\u00e9gitimes et de plusieurs comptes de messagerie contr\u00f4l\u00e9s par les acteurs de la menace, ce dernier \u00e9tant appel\u00e9 Multi-Persona Usurage (MPI).<\/p>\n Les cha\u00eenes d’attaque utilisent g\u00e9n\u00e9ralement des archives RAR contenant des fichiers LNK comme point de d\u00e9part pour distribuer des logiciels malveillants, les messages invitant les cibles potentielles \u00e0 rejoindre un faux webinaire sur des sujets qui les int\u00e9ressent. Une telle s\u00e9quence d’infection en plusieurs \u00e9tapes a \u00e9t\u00e9 observ\u00e9e pour d\u00e9ployer BASICSTAR et KORKULOADER, un script de t\u00e9l\u00e9chargement PowerShell.<\/p>\n BASICSTAR, un malware Visual Basic Script (VBS), est capable de collecter des informations de base sur le syst\u00e8me, d’ex\u00e9cuter \u00e0 distance des commandes relay\u00e9es depuis un serveur de commande et de contr\u00f4le (C2), ainsi que de t\u00e9l\u00e9charger et d’afficher un fichier PDF leurre.<\/p>\n De plus, certaines de ces attaques de phishing sont con\u00e7ues pour servir diff\u00e9rentes portes d\u00e9rob\u00e9es en fonction du syst\u00e8me d’exploitation de la machine. Alors que les victimes Windows sont compromises avec POWERLESS, les victimes Apple macOS sont cibl\u00e9es par une cha\u00eene d’infection culminant \u00e0 NokNok via une application VPN fonctionnelle truff\u00e9e de logiciels malveillants.<\/p>\n “Cet acteur malveillant est tr\u00e8s d\u00e9termin\u00e9 \u00e0 surveiller ses cibles afin de d\u00e9terminer la meilleure fa\u00e7on de les manipuler et de d\u00e9ployer des logiciels malveillants”, ont indiqu\u00e9 les chercheurs. “De plus, peu d’autres acteurs de la menace ont constamment lanc\u00e9 autant de campagnes que CharmingCypress, consacrant des op\u00e9rateurs humains pour soutenir leurs efforts continus.”<\/p>\n Cette divulgation intervient alors que Recorded Future a d\u00e9couvert que le CGRI ciblait les pays occidentaux en utilisant un r\u00e9seau de soci\u00e9t\u00e9s sous-traitantes \u00e9galement sp\u00e9cialis\u00e9es dans l’exportation de technologies \u00e0 des fins de surveillance et d’offensive vers des pays comme l’Irak, la Syrie et le Liban.<\/p>\n Les relations entre les services de renseignement et les organisations militaires et les sous-traitants bas\u00e9s en Iran prennent la forme de divers cybercentres qui agissent comme des \u00ab pare-feu \u00bb pour dissimuler l’entit\u00e9 qui parraine.<\/p>\n Il s\u2019agit notamment d\u2019Ayandeh Sazan Sepher Aria (soup\u00e7onn\u00e9 d\u2019\u00eatre associ\u00e9 \u00e0 Emennet Pasargad), du DSP Research Institute, de Sabrin Kish, de Soroush Saman, de Mahak Rayan Afraz et de la Parnian Telecommunication and Electronic Company.<\/p>\n “Les entreprises contractantes iraniennes sont cr\u00e9\u00e9es et g\u00e9r\u00e9es par un r\u00e9seau tr\u00e8s uni de personnalit\u00e9s qui, dans certains cas, repr\u00e9sentent les entrepreneurs en tant que membres du conseil d’administration”, a d\u00e9clar\u00e9 l’entreprise. dit<\/a>. \u00ab Ces individus sont \u00e9troitement associ\u00e9s au CGRI et, dans certains cas, sont m\u00eame des repr\u00e9sentants d’entit\u00e9s sanctionn\u00e9es (telles que la Fondation coop\u00e9rative du CGRI). \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Les-pirates-iraniens-ciblent-les-experts-politiques-du-Moyen-Orient-avec.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n