Le gouvernement russe et les organisations informatiques sont la cible d’une nouvelle campagne qui fournit un certain nombre de portes d\u00e9rob\u00e9es et de chevaux de Troie dans le cadre d’une campagne de spear-phishing portant le nom de code Vent d’Est<\/b>.<\/p>\n
Les cha\u00eenes d’attaque se caract\u00e9risent par l’utilisation de pi\u00e8ces jointes d’archives RAR contenant un fichier de raccourci Windows (LNK) qui, une fois ouvert, active la s\u00e9quence d’infection, aboutissant au d\u00e9ploiement de logiciels malveillants tels que GrewApacha, une version mise \u00e0 jour de la porte d\u00e9rob\u00e9e CloudSorcerer et un implant jusqu’alors non document\u00e9 baptis\u00e9 PlugY.<\/p>\n
PlugY est \u00ab t\u00e9l\u00e9charg\u00e9 via la porte d\u00e9rob\u00e9e CloudSorcerer, dispose d’un vaste ensemble de commandes et prend en charge trois protocoles diff\u00e9rents pour communiquer avec le serveur de commande et de contr\u00f4le \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 russe Kaspersky dit<\/a>.<\/p>\n Le vecteur d’infection initial repose sur un fichier LNK pi\u00e9g\u00e9, qui utilise Techniques de chargement lat\u00e9ral de DLL<\/a> pour lancer un fichier DLL malveillant qui utilise Dropbox comme m\u00e9canisme de communication pour ex\u00e9cuter des commandes de reconnaissance et t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires.<\/p>\n Parmi les logiciels malveillants d\u00e9ploy\u00e9s \u00e0 l’aide de la DLL figure GrewApacha, une porte d\u00e9rob\u00e9e connue pr\u00e9c\u00e9demment<\/a> li\u00e9<\/a> au groupe APT31 li\u00e9 \u00e0 la Chine. \u00c9galement lanc\u00e9 \u00e0 l’aide du chargement lat\u00e9ral de DLL, il utilise un profil GitHub contr\u00f4l\u00e9 par un attaquant comme r\u00e9solveur de chutes mortes<\/a> pour stocker une cha\u00eene cod\u00e9e en Base64 du serveur C2 r\u00e9el.<\/p>\n CloudSorcerer, en revanche, est un outil de cyberespionnage sophistiqu\u00e9 utilis\u00e9 pour la surveillance furtive, la collecte de donn\u00e9es et l’exfiltration via l’infrastructure cloud Microsoft Graph, Yandex Cloud et Dropbox. Comme dans le cas de GrewApacha, la variante mise \u00e0 jour exploite des plateformes l\u00e9gitimes comme LiveJournal et Quora comme serveur C2 initial.<\/p>\n \u00ab Comme avec les versions pr\u00e9c\u00e9dentes de CloudSorcerer, les biographies de profil contiennent un jeton d’authentification crypt\u00e9 pour interagir avec le service cloud \u00bb, a d\u00e9clar\u00e9 Kaspersky.<\/p>\n De plus, il utilise un m\u00e9canisme de protection bas\u00e9 sur le cryptage qui garantit que le logiciel malveillant est d\u00e9clench\u00e9 uniquement sur l’ordinateur de la victime \u00e0 l’aide d’une cl\u00e9 unique d\u00e9riv\u00e9e de Windows. Fonction GetTickCount()<\/a> au moment de l’ex\u00e9cution.<\/p>\n La troisi\u00e8me famille de logiciels malveillants observ\u00e9e dans les attaques de PlugY, une porte d\u00e9rob\u00e9e compl\u00e8te qui se connecte \u00e0 un serveur de gestion \u00e0 l’aide de TCP, UDP ou de canaux nomm\u00e9s, et est dot\u00e9e de capacit\u00e9s permettant d’ex\u00e9cuter des commandes shell, de surveiller l’\u00e9cran de l’appareil, d’enregistrer les frappes au clavier et de capturer le contenu du presse-papiers.<\/p>\n Kaspersky a d\u00e9clar\u00e9 qu’une analyse du code source de PlugX a r\u00e9v\u00e9l\u00e9 des similitudes avec une porte d\u00e9rob\u00e9e connue appel\u00e9e DRBControl (alias Grimper<\/a>), qui a \u00e9t\u00e9 attribu\u00e9<\/a> aux groupes de menaces li\u00e9es \u00e0 la Chine, identifi\u00e9s comme APT27 et APT41. <\/p>\n \u00ab Les attaquants derri\u00e8re la campagne EastWind ont utilis\u00e9 des services r\u00e9seau populaires comme serveurs de commande – GitHub, Dropbox, Quora, ainsi que LiveJournal et Yandex Disk en russe \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Kaspersky a \u00e9galement d\u00e9taill\u00e9 une attaque de type \u00ab watering hole \u00bb qui consiste \u00e0 compromettre un site l\u00e9gitime li\u00e9 \u00e0 l’approvisionnement en gaz en Russie pour distribuer un ver nomm\u00e9 CMoon qui peut r\u00e9colter des donn\u00e9es confidentielles et de paiement, prendre des captures d’\u00e9cran, t\u00e9l\u00e9charger des logiciels malveillants suppl\u00e9mentaires et lancer des attaques par d\u00e9ni de service distribu\u00e9 (DDoS) contre des cibles d’int\u00e9r\u00eat.<\/p>\n Le logiciel malveillant collecte \u00e9galement des fichiers et des donn\u00e9es \u00e0 partir de divers navigateurs Web, portefeuilles de crypto-monnaie, applications de messagerie instantan\u00e9e, clients SSH, logiciels FTP, applications d’enregistrement et de streaming vid\u00e9o, authentificateurs, outils de bureau \u00e0 distance et VPN. <\/p>\n \u00ab CMoon est un ver \u00e9crit en .NET, avec de larges fonctionnalit\u00e9s pour le vol de donn\u00e9es et le contr\u00f4le \u00e0 distance \u00bb, a-t-il d\u00e9clar\u00e9. dit<\/a>. \u00ab Imm\u00e9diatement apr\u00e8s l’installation, le fichier ex\u00e9cutable commence \u00e0 surveiller les cl\u00e9s USB connect\u00e9es. Cela vous permet de voler des fichiers susceptibles d’int\u00e9resser les attaquants \u00e0 partir de supports amovibles, ainsi que d’y copier un ver et d’infecter d’autres ordinateurs sur lesquels la cl\u00e9 sera utilis\u00e9e. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Lattaque-EastWind-deploie-les-portes-derobees-PlugY-et-GrewApacha-a.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n