{"id":1251065,"date":"2024-07-23T23:32:04","date_gmt":"2024-07-24T01:32:04","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-institutions-ukrainiennes-ciblees-par-les-logiciels-malveillants-hatvibe-et-cherryspy\/"},"modified":"2024-07-23T23:32:09","modified_gmt":"2024-07-24T01:32:09","slug":"les-institutions-ukrainiennes-ciblees-par-les-logiciels-malveillants-hatvibe-et-cherryspy","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-institutions-ukrainiennes-ciblees-par-les-logiciels-malveillants-hatvibe-et-cherryspy\/","title":{"rendered":"Les institutions ukrainiennes cibl\u00e9es par les logiciels malveillants HATVIBE et CHERRYSPY"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>23 juillet 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Cyberespionnage \/ Malware<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

L’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a alert\u00e9 d’une campagne de spear-phishing ciblant une institution de recherche scientifique du pays avec des logiciels malveillants connus sous le nom de HATVIBE et CHERRYSPY.<\/p>\n

L’agence attribu\u00e9<\/a> l’attaque contre un acteur de menace qu’elle suit sous le nom d’UAC-0063, qui a d\u00e9j\u00e0 \u00e9t\u00e9 observ\u00e9 ciblant diverses entit\u00e9s gouvernementales pour recueillir des informations sensibles \u00e0 l’aide d’enregistreurs de frappe et de portes d\u00e9rob\u00e9es.<\/p>\n

L’attaque se caract\u00e9rise par l’utilisation d’un compte de messagerie compromis appartenant \u00e0 un employ\u00e9 de l’organisation pour envoyer des messages de phishing \u00e0 des \u00ab dizaines \u00bb de destinataires contenant une pi\u00e8ce jointe Microsoft Word (DOCX) contenant une macro.<\/p>\n

L’ouverture du document et l’activation des macros entra\u00eenent l’ex\u00e9cution d’une application HTML cod\u00e9e (HTA) nomm\u00e9e HATVIBE, qui configure la persistance sur l’h\u00f4te \u00e0 l’aide d’une t\u00e2che planifi\u00e9e et ouvre la voie \u00e0 une porte d\u00e9rob\u00e9e Python nomm\u00e9e CHERRYSPY, capable d’ex\u00e9cuter des commandes \u00e9mises par un serveur distant.<\/p>\n

\"La<\/a><\/center><\/section>\n

Le CERT-UA a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 \u00ab de nombreux cas \u00bb d’infections HATVIBE qui exploitent une faille de s\u00e9curit\u00e9 connue dans le serveur de fichiers HTTP (CVE-2024-23692, score CVSS : 9,8) pour l’acc\u00e8s initial.<\/p>\n

L’UAC-0063 a \u00e9t\u00e9 associ\u00e9 avec une confiance mod\u00e9r\u00e9e \u00e0 un groupe \u00e9tatique li\u00e9 \u00e0 la Russie surnomm\u00e9 APT28. APT28, \u00e9galement appel\u00e9 BlueDelta, Fancy Bear, Forest Blizzard, FROZENLAKE, Iron Twilight, ITG05, Pawn Storm, Sednit, Sofacy et TA422, est affili\u00e9 \u00e0 l’unit\u00e9 de renseignement militaire strat\u00e9gique de la Russie, le GRU.<\/p>\n

\"Logiciels<\/a><\/div>\n

Le d\u00e9veloppement intervient alors que CERT-UA d\u00e9taill\u00e9<\/a> une autre campagne de phishing ciblant les entreprises de d\u00e9fense ukrainiennes avec des fichiers PDF pi\u00e9g\u00e9s int\u00e9grant un lien qui, une fois cliqu\u00e9, t\u00e9l\u00e9charge un ex\u00e9cutable (alias GLUEEGG), qui est responsable du d\u00e9cryptage et de l’ex\u00e9cution d’un chargeur bas\u00e9 sur Lua appel\u00e9 DROPCLUE.<\/p>\n

DROPCLUE est con\u00e7u pour ouvrir un faux document \u00e0 la victime, tout en t\u00e9l\u00e9chargeant secr\u00e8tement un programme de bureau \u00e0 distance l\u00e9gitime appel\u00e9 Atera Agent \u00e0 l’aide de l’utilitaire curl. L’attaque a \u00e9t\u00e9 li\u00e9e \u00e0 un cluster suivi sous le nom UAC-0180.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n