Les victimes de la langue espagnole sont la cible d’une campagne de phishing par courrier \u00e9lectronique qui diffuse un nouveau cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) appel\u00e9 Petit RAT<\/strong> depuis au moins f\u00e9vrier 2024.<\/p>\n Selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Cofense, les attaques visent principalement les secteurs minier, manufacturier, de l’h\u00f4tellerie et des services publics.<\/p>\n \u00ab La majorit\u00e9 du code personnalis\u00e9 du malware semble \u00eatre ax\u00e9e sur l’anti-analyse, la communication avec son centre de commande et de contr\u00f4le (C2) et le t\u00e9l\u00e9chargement et l’ex\u00e9cution de fichiers avec une attention limit\u00e9e \u00e0 la surveillance ou \u00e0 la collecte d’informations d’identification \u00bb, a-t-il d\u00e9clar\u00e9. dit<\/a>.<\/p>\n Les cha\u00eenes d\u2019infection commencent par des messages de phishing contenant des leurres \u00e0 th\u00e8me financier qui incitent les destinataires \u00e0 cliquer sur une URL int\u00e9gr\u00e9e pointant vers un fichier d\u2019archive 7-Zip h\u00e9berg\u00e9 sur Google Drive.<\/p>\n D\u2019autres m\u00e9thodes observ\u00e9es incluent l\u2019utilisation de fichiers HTML ou PDF directement joints aux e-mails ou t\u00e9l\u00e9charg\u00e9s via un autre lien Google Drive int\u00e9gr\u00e9. L\u2019utilisation abusive de services l\u00e9gitimes par des acteurs malveillants n\u2019est pas un ph\u00e9nom\u00e8ne nouveau, car elle leur permet de contourner les passerelles de messagerie s\u00e9curis\u00e9es (SEG).<\/p>\n Les fichiers HTML propageant Poco RAT contiennent \u00e0 leur tour un lien qui, en cliquant, m\u00e8ne au t\u00e9l\u00e9chargement de l’archive contenant l’ex\u00e9cutable du malware.<\/p>\n \u00ab Cette tactique serait probablement plus efficace que de simplement fournir une URL pour t\u00e9l\u00e9charger directement le logiciel malveillant, car tout SEG qui explorerait l’URL int\u00e9gr\u00e9e ne t\u00e9l\u00e9chargerait et ne v\u00e9rifierait que le fichier HTML, qui semblerait l\u00e9gitime \u00bb, a not\u00e9 Cofense.<\/p>\n Les fichiers PDF ne sont pas diff\u00e9rents dans la mesure o\u00f9 ils contiennent \u00e9galement un lien Google Drive qui h\u00e9berge Poco RAT.<\/p>\n Une fois lanc\u00e9, le malware bas\u00e9 sur Delphi \u00e9tablit une persistance sur l’h\u00f4te Windows compromis et contacte un serveur C2 afin de fournir des charges utiles suppl\u00e9mentaires. Il est ainsi nomm\u00e9 en raison de son utilisation du Biblioth\u00e8ques POCO C++<\/a>.<\/p>\n L\u2019utilisation de Delphi est un signe que les acteurs de la menace non identifi\u00e9s derri\u00e8re la campagne se concentrent sur l\u2019Am\u00e9rique latine, connue pour \u00eatre la cible de chevaux de Troie bancaires \u00e9crits dans le langage de programmation.<\/p>\n Ce lien est renforc\u00e9 par le fait que le serveur C2 ne r\u00e9pond pas aux requ\u00eates provenant d\u2019ordinateurs infect\u00e9s qui ne sont pas g\u00e9olocalis\u00e9s dans la r\u00e9gion.<\/p>\n Ce d\u00e9veloppement intervient alors que les auteurs de logiciels malveillants sont de plus en plus utilis\u00e9<\/a> Codes QR int\u00e9gr\u00e9s aux fichiers PDF pour inciter les utilisateurs \u00e0 visiter des pages de phishing con\u00e7ues pour r\u00e9colter les informations de connexion \u00e0 Microsoft 365.<\/p>\n Il suit \u00e9galement les campagnes d’ing\u00e9nierie sociale qui utilisent des sites trompeurs faisant la publicit\u00e9 de logiciels populaires pour diffuser des logiciels malveillants tels que des RAT et des voleurs d’informations comme AsyncRAT<\/a> et RisePro<\/a>.<\/p>\n Des attaques de vol de donn\u00e9es similaires ont \u00e9galement cibl\u00e9 les internautes en Inde avec de faux messages SMS affirmant \u00e0 tort que la livraison des colis avait \u00e9chou\u00e9 et leur demandant de cliquer sur un lien fourni pour mettre \u00e0 jour leurs coordonn\u00e9es.<\/p>\n La campagne de phishing par SMS a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur malveillant parlant chinois appel\u00e9 Smishing Triad, qui a pour habitude d’utiliser des comptes iCloud Apple compromis ou enregistr\u00e9s intentionnellement (par exemple, \u00ab fredyma514@hlh-web.de \u00bb) pour envoyer des messages de smishing afin de commettre des fraudes financi\u00e8res.<\/p>\n \u00ab Les acteurs ont enregistr\u00e9 des noms de domaine se faisant passer pour l’India Post vers le mois de juin, mais ne les utilisaient pas activement, se pr\u00e9parant probablement \u00e0 une activit\u00e9 \u00e0 grande \u00e9chelle, qui est devenue visible en juillet \u00bb, a d\u00e9clar\u00e9 Resecurity. dit<\/a>\u00ab L\u2019objectif de cette campagne est de voler des quantit\u00e9s massives d\u2019informations personnelles identifiables (PII) et de donn\u00e9es de paiement. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-nouveau-RAT-Poco-cible-les-victimes-hispanophones-dans-une.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n