Un acteur malveillant jusque-l\u00e0 inconnu a \u00e9t\u00e9 attribu\u00e9 \u00e0 une s\u00e9rie d\u2019attaques ciblant l\u2019Azerba\u00efdjan et Isra\u00ebl dans le but de voler des donn\u00e9es sensibles.<\/p>\n
La campagne d’attaque, d\u00e9tect\u00e9e par NSFOCUS le 1er juillet 2024, a utilis\u00e9 des courriels de spear-phishing pour cibler des diplomates azerba\u00efdjanais et isra\u00e9liens. L’activit\u00e9 est suivie sous le pseudonyme Acteur240524<\/strong>.<\/p>\n \u00ab L’acteur 240524 poss\u00e8de la capacit\u00e9 de voler des secrets et de modifier des donn\u00e9es de fichiers, en utilisant une vari\u00e9t\u00e9 de contre-mesures pour \u00e9viter la surexposition des tactiques et techniques d’attaque \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 dit<\/a> dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n Les cha\u00eenes d’attaque commencent par l’utilisation d’e-mails de phishing contenant des documents Microsoft Word qui, une fois ouverts, exhortent les destinataires \u00e0 \u00ab\u00a0Activer le contenu\u00a0\u00bb et \u00e0 ex\u00e9cuter une macro malveillante charg\u00e9e d’ex\u00e9cuter une charge utile de chargeur interm\u00e9diaire nomm\u00e9e ABCloader (\u00ab\u00a0MicrosoftWordUpdater.log\u00a0\u00bb).<\/p>\n Dans l’\u00e9tape suivante, ABCloader agit comme un conduit pour d\u00e9crypter et charger un malware DLL appel\u00e9 ABCsync (\u00ab\u00a0synchronize.dll\u00a0\u00bb), qui \u00e9tablit ensuite le contact avec un serveur distant (\u00ab\u00a0185.23.253[.]143″) pour recevoir et ex\u00e9cuter des commandes.<\/p>\n \u00ab Sa fonction principale est de d\u00e9terminer l’environnement d’ex\u00e9cution, de d\u00e9crypter le programme et de charger la DLL suivante (ABCsync) \u00bb, a d\u00e9clar\u00e9 NSFOCUS. \u00ab Il ex\u00e9cute ensuite diverses techniques anti-bac \u00e0 sable et anti-analyse pour la d\u00e9tection de l’environnement. \u00bb<\/p>\n Certaines des fonctions importantes d’ABCsync sont l’ex\u00e9cution de shells distants, l’ex\u00e9cution de commandes \u00e0 l’aide de cmd.exe et l’exfiltration d’informations syst\u00e8me et d’autres donn\u00e9es.<\/p>\n ABCloader et ABCsync ont tous deux \u00e9t\u00e9 observ\u00e9s en train d’utiliser des techniques telles que le chiffrement de cha\u00eene pour masquer les chemins d’acc\u00e8s aux fichiers importants, les noms de fichiers, les cl\u00e9s, les messages d’erreur et les adresses de commande et de contr\u00f4le (C2). Ils effectuent \u00e9galement plusieurs v\u00e9rifications pour d\u00e9terminer si les processus sont en cours de d\u00e9bogage ou d’ex\u00e9cution dans une machine virtuelle ou un sandbox en validant la r\u00e9solution d’affichage.<\/p>\n Une autre \u00e9tape cruciale franchie par Actor240524 est qu\u2019il inspecte si le nombre de processus en cours d\u2019ex\u00e9cution dans le syst\u00e8me compromis est inf\u00e9rieur \u00e0 200, et si tel est le cas, il quitte le processus malveillant.<\/p>\n ABCloader est \u00e9galement con\u00e7u pour lancer un chargeur similaire appel\u00e9 \u00ab\u00a0synchronize.exe\u00a0\u00bb et un fichier DLL nomm\u00e9 \u00ab\u00a0vcruntime190.dll\u00a0\u00bb ou \u00ab\u00a0vcruntime220.dll\u00a0\u00bb, qui sont capables de configurer la persistance sur l’h\u00f4te.<\/p>\n \u00ab L’Azerba\u00efdjan et Isra\u00ebl sont des pays alli\u00e9s qui entretiennent des \u00e9changes \u00e9conomiques et politiques \u00e9troits \u00bb, a d\u00e9clar\u00e9 NSFOCUS. \u00ab L’op\u00e9ration d’Actor240524 vise probablement cette fois-ci la relation de coop\u00e9ration entre les deux pays, en ciblant les attaques de phishing sur le personnel diplomatique des deux pays. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Une-nouvelle-cybermenace-vise-les-diplomates-dAzerbaidjan-et-dIsrael-et.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n