Des chercheurs en cybers\u00e9curit\u00e9 ont divulgu\u00e9 des d\u00e9tails sur un acteur mena\u00e7ant connu sous le nom de Sticky Werewolf qui a \u00e9t\u00e9 li\u00e9 \u00e0 des cyberattaques ciblant des entit\u00e9s en Russie et en Bi\u00e9lorussie.<\/p>\n
Les attaques de phishing visaient une soci\u00e9t\u00e9 pharmaceutique, un institut de recherche russe sp\u00e9cialis\u00e9 dans la microbiologie et le d\u00e9veloppement de vaccins, ainsi que le secteur a\u00e9ronautique, s’\u00e9tendant au-del\u00e0 de leur objectif initial d’organisations gouvernementales, Morphisec. dit<\/a> dans un rapport la semaine derni\u00e8re.<\/p>\n “Dans les campagnes pr\u00e9c\u00e9dentes, la cha\u00eene d’infection commen\u00e7ait par des e-mails de phishing contenant un lien permettant de t\u00e9l\u00e9charger un fichier malveillant \u00e0 partir de plateformes comme gofile.io”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Arnold Osipov. “Cette derni\u00e8re campagne a utilis\u00e9 des fichiers d’archives contenant des fichiers LNK pointant vers une charge utile stock\u00e9e sur des serveurs WebDAV.”<\/p>\n Sticky Werewolf, l’un des nombreux acteurs mena\u00e7ants ciblant la Russie et la Bi\u00e9lorussie, comme Loup-garou des nuages<\/a> (alias Inception et Cloud Atlas), Loup de quartz<\/a>, Loup rouge<\/a> (alias RedCurl), et Loup \u00e9cailleux<\/a>\u00e9tait document\u00e9 pour la premi\u00e8re fois<\/a> par BI.ZONE en octobre 2023. Le groupe serait actif depuis au moins avril 2023.<\/p>\n Les attaques pr\u00e9c\u00e9dentes document\u00e9es par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 exploitaient des e-mails de phishing contenant des liens vers des charges utiles malveillantes qui ont abouti au d\u00e9ploiement du cheval de Troie d’acc\u00e8s \u00e0 distance NetWire (RAT), dont l’infrastructure a \u00e9t\u00e9 supprim\u00e9e au d\u00e9but de l’ann\u00e9e derni\u00e8re \u00e0 la suite d’une op\u00e9ration des forces de l’ordre.<\/p>\n La nouvelle cha\u00eene d’attaque observ\u00e9e par Morphisec implique l’utilisation d’une pi\u00e8ce jointe d’archive RAR qui, une fois extraite, contient deux fichiers LNK et un document PDF leurre, ce dernier pr\u00e9tendant \u00eatre une invitation \u00e0 une vid\u00e9oconf\u00e9rence et invitant les destinataires \u00e0 cliquer sur le Fichiers LNK pour obtenir l’ordre du jour de la r\u00e9union et la liste de distribution des e-mails.<\/p>\n L’ouverture de l’un ou l’autre des fichiers LNK d\u00e9clenche l’ex\u00e9cution d’un binaire h\u00e9berg\u00e9 sur un serveur WebDAV, ce qui conduit au lancement d’un script batch Windows obscurci. Le script, \u00e0 son tour, est con\u00e7u pour ex\u00e9cuter un script AutoIt qui injecte finalement la charge utile finale, tout en contournant les logiciels de s\u00e9curit\u00e9 et les tentatives d’analyse.<\/p>\n “Cet ex\u00e9cutable est une archive auto-extractible NSIS qui fait partie d’un crypteur pr\u00e9c\u00e9demment connu nomm\u00e9 ChiffrementIT<\/a>“, a d\u00e9clar\u00e9 Osipov. “Bien que le crypteur CypherIT original ne soit plus vendu, l’ex\u00e9cutable actuel en est une variante, comme observ\u00e9 dans quelques forums de piratage.” <\/p>\n L’objectif final de la campagne est de fournir des RAT de base et des logiciels malveillants voleurs d’informations tels que Rhadamanthys et Ozone RAT.<\/p>\n “Bien qu’il n’existe aucune preuve d\u00e9finitive indiquant une origine nationale sp\u00e9cifique du groupe Sticky Werewolf, le contexte g\u00e9opolitique sugg\u00e8re des liens possibles avec un groupe de cyberespionnage pro-ukrainien ou des hacktivistes, mais cette attribution reste incertaine”, a d\u00e9clar\u00e9 Osipov.<\/p>\n Ce d\u00e9veloppement intervient alors que BI.ZONE a r\u00e9v\u00e9l\u00e9 un cluster d’activit\u00e9s nomm\u00e9 Loup-garou saphir<\/a> cela a \u00e9t\u00e9 attribu\u00e9 \u00e0 plus de 300 attaques contre les secteurs russes de l\u2019\u00e9ducation, de l\u2019industrie manufacturi\u00e8re, de l\u2019informatique, de la d\u00e9fense et de l\u2019ing\u00e9nierie a\u00e9rospatiale \u00e0 l\u2019aide d\u2019Amethyst, une \u00e9manation du populaire logiciel open source SapphireStealer.<\/p>\n La soci\u00e9t\u00e9 russe a \u00e9galement d\u00e9couvert en mars 2024 des clusters appel\u00e9s Loup duveteux<\/a> et Myst\u00e9rieux loup-garou<\/a> qui ont utilis\u00e9 des leurres de spear phishing pour distribuer Remote Utilities, XMRig Miner, WarZone RAT et une porte d\u00e9rob\u00e9e sur mesure baptis\u00e9e RingSpy.<\/p>\n “La porte d\u00e9rob\u00e9e RingSpy permet \u00e0 un adversaire d’ex\u00e9cuter des commandes \u00e0 distance, d’obtenir leurs r\u00e9sultats et de t\u00e9l\u00e9charger des fichiers \u00e0 partir des ressources du r\u00e9seau”, note-t-il. “La porte d\u00e9rob\u00e9e [command-and-control] Le serveur est un robot Telegram.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Sticky-Werewolf-etend-ses-cibles-de-cyberattaques-en-Russie-et.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n