Le personnel militaire des pays du Moyen-Orient est la cible d’une op\u00e9ration de surveillance en cours qui fournit un outil de collecte de donn\u00e9es Android appel\u00e9 GardeZoo<\/strong>.<\/p>\n Le campagne<\/a>qui aurait commenc\u00e9 d\u00e8s octobre 2019, a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur de menace align\u00e9 sur les Houthis sur la base des leurres d’application, des journaux du serveur de commandement et de contr\u00f4le (C2), de l’empreinte de ciblage et de l’emplacement de l’infrastructure d’attaque, selon Lookout.<\/p>\n Plus de 450 victimes ont \u00e9t\u00e9 touch\u00e9es par cette activit\u00e9 malveillante, avec des cibles situ\u00e9es en \u00c9gypte, \u00e0 Oman, au Qatar, en Arabie saoudite, en Turquie, aux \u00c9mirats arabes unis et au Y\u00e9men. Les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie indiquent que la plupart des infections ont \u00e9t\u00e9 enregistr\u00e9es au Y\u00e9men.<\/p>\n GuardZoo est une version modifi\u00e9e d’un cheval de Troie d’acc\u00e8s \u00e0 distance Android (RAT) nomm\u00e9 Dendroid RAT qui a \u00e9t\u00e9 d\u00e9couvert pour la premi\u00e8re fois<\/a> par Symantec, propri\u00e9t\u00e9 de Broadcom, en mars 2014. L’int\u00e9gralit\u00e9 du code source associ\u00e9 \u00e0 la solution de crimeware a \u00e9t\u00e9 fuite<\/a> plus tard en ao\u00fbt.<\/p>\n Commercialis\u00e9 \u00e0 l’origine comme un logiciel malveillant de base au prix unique de 300 $, il est dot\u00e9 de fonctionnalit\u00e9s permettant d’appeler un num\u00e9ro de t\u00e9l\u00e9phone, de supprimer les journaux d’appels, d’ouvrir des pages Web, d’enregistrer de l’audio et des appels, d’acc\u00e9der \u00e0 des messages SMS, de prendre et de t\u00e9l\u00e9charger des photos et des vid\u00e9os, et m\u00eame de lancer une Attaque par inondation HTTP<\/a>.<\/p>\n \u00ab Cependant, de nombreuses modifications ont \u00e9t\u00e9 apport\u00e9es \u00e0 la base de code afin d’ajouter de nouvelles fonctionnalit\u00e9s et de supprimer des fonctions inutilis\u00e9es \u00bb, ont d\u00e9clar\u00e9 les chercheurs de Lookout Alemdar Islamoglu et Kyle Schmittle dans un rapport partag\u00e9 avec The Hacker News. \u00ab GuardZoo n’utilise pas le panneau Web PHP divulgu\u00e9 de Dendroid RAT pour Command and Control (C2) mais utilise \u00e0 la place un nouveau backend C2 cr\u00e9\u00e9 avec ASP.NET. \u00bb<\/p>\n Les cha\u00eenes d’attaque distribuant GuardZoo utilisent WhatsApp et WhatsApp Business comme vecteurs de distribution, les infections initiales ayant \u00e9galement lieu via des t\u00e9l\u00e9chargements directs depuis un navigateur. Les applications Android pi\u00e9g\u00e9es portent des th\u00e8mes militaires et religieux pour inciter les utilisateurs \u00e0 les t\u00e9l\u00e9charger.<\/p>\n \u00ab Nous avons observ\u00e9 que GuardZoo \u00e9tait distribu\u00e9 de deux mani\u00e8res diff\u00e9rentes \u00bb, a d\u00e9clar\u00e9 Islamoglu \u00e0 The Hacker News. \u00ab Tout d’abord, l’acteur malveillant envoie directement le fichier APK \u00e0 la cible via des applications de chat priv\u00e9es (Whatsapp, Whatsapp Business) en utilisant la capacit\u00e9 d’envoi de fichiers des applications de chat. \u00bb<\/p>\n \u00ab Dans le deuxi\u00e8me cas, l’acteur malveillant t\u00e9l\u00e9charge le fichier sur un serveur accessible sur Internet, puis partage le lien avec la cible en esp\u00e9rant que celle-ci t\u00e9l\u00e9chargera et installera le fichier APK. \u00bb<\/p>\n La version mise \u00e0 jour du malware prend en charge plus de 60 commandes qui lui permettent de r\u00e9cup\u00e9rer des charges utiles suppl\u00e9mentaires, de t\u00e9l\u00e9charger des fichiers et des APK, de charger des fichiers (PDF, DOC, DOCX, XLX, XLSX et PPT) et des images, de modifier l’adresse C2 et de se terminer, de se mettre \u00e0 jour ou de se supprimer de l’appareil compromis.<\/p>\n Le malware Android poss\u00e8de \u00e9galement une fonctionnalit\u00e9 permettant de t\u00e9l\u00e9charger tous les fichiers avec des extensions KMZ, WPT, RTE et TRK<\/a>chacun d’entre eux correspondant \u00e0 la cartographie et aux donn\u00e9es CompeGPS indiquant les points de cheminement, les itin\u00e9raires et les pistes.<\/p>\n \u00ab GuardZoo utilise les m\u00eames domaines DNS dynamiques pour les op\u00e9rations C2 depuis octobre 2019 \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Ces domaines correspondent aux adresses IP enregistr\u00e9es sur Y\u00e9menNet et ils changent r\u00e9guli\u00e8rement. \u00bb<\/p>\n Le Les Houthis<\/a> \u2013 un groupe militant qui contr\u00f4le Sanaa et le nord-ouest du Y\u00e9men<\/a> \u2013 ont int\u00e9gr\u00e9 ces derni\u00e8res ann\u00e9es des capacit\u00e9s cybern\u00e9tiques \u00e0 leur arsenal. En mai 2023, Recorded Future a r\u00e9v\u00e9l\u00e9 une campagne d\u2019espionnage mobile men\u00e9e par un groupe de hackers li\u00e9 au mouvement qui a utilis\u00e9 WhatsApp pour d\u00e9ployer un malware Android connu sous le nom de SpyNote (alias SpyMax).<\/p>\n \u00ab La conception de GuardZoo est sp\u00e9cifiquement ax\u00e9e sur le vol de photos, de documents et de fichiers cartographiques \u00e0 partir des appareils des victimes, et elle a \u00e9t\u00e9 utilis\u00e9e pour voler avec succ\u00e8s des documents militaires sensibles dans le pass\u00e9 \u00bb, a d\u00e9clar\u00e9 Islamoglu.<\/p>\n \u00ab Les fichiers de cartographie en particulier ne sont pas couramment collect\u00e9s dans des logiciels espions similaires utilis\u00e9s par d\u2019autres acteurs malveillants, et indiquent que ces derniers pourraient \u00eatre int\u00e9ress\u00e9s par le suivi des mouvements de troupes militaires qui sont probablement enregistr\u00e9s dans des applications de navigation. Cela sugg\u00e8re que GuardZoo est utilis\u00e9 pour collecter des renseignements militaires tactiques et strat\u00e9giques qui peuvent \u00eatre utilis\u00e9s au profit d\u2019autres op\u00e9rations men\u00e9es par les Houthis. \u00bb<\/p>\n (L’histoire a \u00e9t\u00e9 mise \u00e0 jour apr\u00e8s publication pour inclure des commentaires suppl\u00e9mentaires de Lookout.)<\/em><\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-malware-GuardZoo-cible-plus-de-450-militaires-du-Moyen-Orient.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n