Des chercheurs en cybers\u00e9curit\u00e9 ont mis en lumi\u00e8re une campagne sophistiqu\u00e9e de vol d’informations qui se fait passer pour des marques l\u00e9gitimes pour distribuer des logiciels malveillants comme DanaBot et StealC.<\/p>\n
Le groupe d’activit\u00e9s, orchestr\u00e9 par des cybercriminels russophones et collectivement baptis\u00e9 Tusk, engloberait plusieurs sous-campagnes, exploitant la r\u00e9putation des plateformes pour inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger le malware en utilisant de faux sites et comptes de r\u00e9seaux sociaux.<\/p>\n
\u00ab Toutes les sous-campagnes actives h\u00e9bergent le t\u00e9l\u00e9chargeur initial sur Dropbox \u00bb, ont d\u00e9clar\u00e9 les chercheurs de Kaspersky Elsayed Elrefaei et AbdulRhman Alfaifi dit<\/a>\u00ab Ce t\u00e9l\u00e9chargeur est charg\u00e9 de fournir des \u00e9chantillons de programmes malveillants suppl\u00e9mentaires \u00e0 la machine de la victime, qui sont principalement des voleurs d’informations (DanaBot et StealC) et des clippers. \u00bb<\/p>\n Sur les 19 sous-campagnes identifi\u00e9es \u00e0 ce jour, trois seraient actuellement actives. Le nom \u00ab Tusk \u00bb fait r\u00e9f\u00e9rence au mot \u00ab Mammoth \u00bb utilis\u00e9 par les acteurs de la menace dans les messages de journal associ\u00e9s au t\u00e9l\u00e9chargeur initial. Il convient de noter que \u00ab mammoth \u00bb est un terme d’argot souvent utilis\u00e9 par les groupes de cybercriminalit\u00e9 russes pour d\u00e9signer les victimes.<\/p>\n Ces campagnes sont \u00e9galement connues pour employer des tactiques de phishing pour tromper les victimes et les amener \u00e0 divulguer leurs informations personnelles et financi\u00e8res, qui sont ensuite vendues sur le dark web ou utilis\u00e9es pour obtenir un acc\u00e8s non autoris\u00e9 \u00e0 leurs comptes de jeu et \u00e0 leurs portefeuilles de crypto-monnaie.<\/p>\n La premi\u00e8re des trois sous-campagnes, connue sous le nom de TidyMe, imite peerme[.]io avec un site similaire h\u00e9berg\u00e9 sur tidyme[.]io (ainsi que tidymeapp[.]io et tidyme[.](application) qui sollicite un clic pour t\u00e9l\u00e9charger un programme malveillant pour les syst\u00e8mes Windows et macOS diffus\u00e9 depuis Dropbox.<\/p>\n Le t\u00e9l\u00e9chargeur est une application Electron qui, une fois lanc\u00e9e, invite la victime \u00e0 saisir le CAPTCHA affich\u00e9, apr\u00e8s quoi l’interface principale de l’application s’affiche, tandis que deux fichiers malveillants suppl\u00e9mentaires sont r\u00e9cup\u00e9r\u00e9s et ex\u00e9cut\u00e9s secr\u00e8tement en arri\u00e8re-plan.<\/p>\n Les deux charges utiles observ\u00e9es dans la campagne sont des artefacts Hijack Loader, qui lancent en fin de compte une variante du malware voleur StealC avec des capacit\u00e9s permettant de r\u00e9colter un large \u00e9ventail d’informations.<\/p>\n RuneOnlineWorld (\u00ab monde en ligne de Rune \u00bb)[.]”io”), la deuxi\u00e8me sous-campagne, implique l’utilisation d’un faux site Web simulant un jeu en ligne massivement multijoueur (MMO) nomm\u00e9 Rise Online World pour distribuer un t\u00e9l\u00e9chargeur similaire qui ouvre la voie \u00e0 DanaBot et StealC sur des h\u00f4tes compromis.<\/p>\n \u00c9galement distribu\u00e9 via Hijack Loader dans cette campagne, un malware Clipper bas\u00e9 sur Go est con\u00e7u pour surveiller le contenu du presse-papiers et remplacer les adresses de portefeuille copi\u00e9es par la victime par un portefeuille Bitcoin contr\u00f4l\u00e9 par l’attaquant pour effectuer des transactions frauduleuses.<\/p>\n Pour compl\u00e9ter les campagnes actives, Voico se fait passer pour un projet de traducteur IA appel\u00e9 YOUS (yous[.]ai) avec un homologue malveillant surnomm\u00e9 voico[.]io afin de diffuser un t\u00e9l\u00e9chargeur initial qui, lors de l’installation, demande \u00e0 la victime de remplir un formulaire d’inscription contenant ses identifiants puis enregistre les informations sur la console.<\/p>\n Les charges utiles finales pr\u00e9sentent un comportement similaire \u00e0 celui de la deuxi\u00e8me sous-campagne, la seule distinction \u00e9tant que le malware StealC utilis\u00e9 dans ce cas communique avec un serveur de commande et de contr\u00f4le (C2) diff\u00e9rent.<\/p>\n “Les campagnes […] \u00ab Ces r\u00e9sultats d\u00e9montrent la menace persistante et \u00e9volutive que repr\u00e9sentent les cybercriminels, qui savent imiter des projets l\u00e9gitimes pour tromper leurs victimes \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Le recours aux techniques d’ing\u00e9nierie sociale telles que le phishing, associ\u00e9 \u00e0 des m\u00e9canismes de diffusion de programmes malveillants \u00e0 plusieurs \u00e9tapes, met en \u00e9vidence les capacit\u00e9s avanc\u00e9es des acteurs de la menace impliqu\u00e9s. \u00bb<\/p>\n \u00ab En exploitant la confiance que les utilisateurs accordent \u00e0 des plateformes connues, ces attaquants d\u00e9ploient efficacement une gamme de programmes malveillants con\u00e7us pour voler des informations sensibles, compromettre les syst\u00e8mes et, en fin de compte, r\u00e9aliser des gains financiers. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-pirates-informatiques-russes-utilisent-de-faux-sites-de-marques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n