Un groupe de menaces persistantes avanc\u00e9es (APT) jusqu’alors non document\u00e9, baptis\u00e9 Sorcier des nuages<\/strong> a \u00e9t\u00e9 observ\u00e9 ciblant des entit\u00e9s gouvernementales russes en exploitant des services cloud pour le commandement et le contr\u00f4le (C2) et l’exfiltration de donn\u00e9es.<\/p>\n L’entreprise de cybers\u00e9curit\u00e9 Kaspersky, qui a d\u00e9couvert l’activit\u00e9 en mai 2024, a soulign\u00e9 que le proc\u00e9d\u00e9 utilis\u00e9 par l’acteur malveillant pr\u00e9sentait des similitudes avec celui de CloudWizard, mais a soulign\u00e9 les diff\u00e9rences dans le code source du malware. Les attaques utilisent un programme innovant de collecte de donn\u00e9es et une s\u00e9rie de tactiques d’\u00e9vasion pour couvrir leurs traces.<\/p>\n \u00ab Il s’agit d’un outil de cyberespionnage sophistiqu\u00e9 utilis\u00e9 pour la surveillance furtive, la collecte de donn\u00e9es et l’exfiltration via l’infrastructure cloud Microsoft Graph, Yandex Cloud et Dropbox \u00bb, a d\u00e9clar\u00e9 le fournisseur de s\u00e9curit\u00e9 russe. dit<\/a>.<\/p>\n \u00ab Le malware exploite les ressources du cloud comme serveurs de commande et de contr\u00f4le (C2), en y acc\u00e9dant via des API utilisant des jetons d’authentification. De plus, CloudSorcerer utilise GitHub comme serveur C2 initial. \u00bb<\/p>\n La m\u00e9thode exacte utilis\u00e9e pour infiltrer les cibles est actuellement inconnue, mais l’acc\u00e8s initial est exploit\u00e9 pour d\u00e9poser un binaire ex\u00e9cutable portable bas\u00e9 sur C qui est utilis\u00e9 comme porte d\u00e9rob\u00e9e, initier des communications C2 ou injecter du shellcode dans d’autres processus l\u00e9gitimes en fonction du processus dans lequel il est ex\u00e9cut\u00e9, \u00e0 savoir mspaint.exe, msiexec.exe ou contient la cha\u00eene \u00ab navigateur \u00bb.<\/p>\n \u00ab La capacit\u00e9 du malware \u00e0 adapter dynamiquement son comportement en fonction du processus dans lequel il s’ex\u00e9cute, associ\u00e9e \u00e0 son utilisation d’une communication interprocessus complexe via des canaux Windows, souligne encore davantage sa sophistication \u00bb, a not\u00e9 Kaspersky.<\/p>\n Le composant de porte d\u00e9rob\u00e9e est con\u00e7u pour collecter des informations sur la machine victime et r\u00e9cup\u00e9rer des instructions pour \u00e9num\u00e9rer les fichiers et les dossiers, ex\u00e9cuter des commandes shell, effectuer des op\u00e9rations sur les fichiers et ex\u00e9cuter des charges utiles suppl\u00e9mentaires.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Nouveau-groupe-APT-quotSorcier-des-nuagesquot-Cible-les-entites-gouvernementales.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n