Des chercheurs en cybers\u00e9curit\u00e9 ont mis en lumi\u00e8re un acteur de menace connu sous le nom de Aigle aveugle<\/strong> qui a constamment cibl\u00e9 des entit\u00e9s et des individus en Colombie, en \u00c9quateur, au Chili, au Panama et dans d\u2019autres pays d\u2019Am\u00e9rique latine.<\/p>\n Les cibles de ces attaques couvrent plusieurs secteurs, notamment les institutions gouvernementales, les soci\u00e9t\u00e9s financi\u00e8res, les soci\u00e9t\u00e9s \u00e9nerg\u00e9tiques et les soci\u00e9t\u00e9s p\u00e9troli\u00e8res et gazi\u00e8res.<\/p>\n \u00ab Blind Eagle a fait preuve d’adaptabilit\u00e9 dans la d\u00e9finition des objectifs de ses cyberattaques et de polyvalence pour passer d’attaques purement motiv\u00e9es par des raisons financi\u00e8res \u00e0 des op\u00e9rations d’espionnage \u00bb, d\u00e9clare Kaspersky dit<\/a> dans un rapport de lundi.<\/p>\n \u00c9galement appel\u00e9 APT-C-36, Blind Eagle serait actif depuis au moins 2018. Le groupe pr\u00e9sum\u00e9 hispanophone est connu pour utiliser des leurres de spear-phishing pour distribuer divers chevaux de Troie d’acc\u00e8s \u00e0 distance accessibles au public tels que AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT et Remcos RAT.<\/p>\n Plus t\u00f4t en mars, eSentire a d\u00e9taill\u00e9 l’utilisation par l’adversaire d’un chargeur de malware appel\u00e9 Ande Loader pour propager Remcos RAT et NjRAT.<\/p>\n Le point de d\u00e9part est un courrier \u00e9lectronique d\u2019hame\u00e7onnage se faisant passer pour des institutions gouvernementales l\u00e9gitimes et des entit\u00e9s financi\u00e8res et bancaires qui avertit de mani\u00e8re trompeuse les destinataires de prendre des mesures urgentes en cliquant sur un lien qui pr\u00e9tend les conduire au site Web officiel de l\u2019entit\u00e9 imit\u00e9e.<\/p>\n Les messages \u00e9lectroniques incluent \u00e9galement une pi\u00e8ce jointe au format PDF ou Microsoft Word contenant la m\u00eame URL et, dans certains cas, quelques d\u00e9tails suppl\u00e9mentaires destin\u00e9s \u00e0 donner un signe d\u2019urgence accru et \u00e0 lui donner un semblant de l\u00e9gitimit\u00e9.<\/p>\n Le premier ensemble d’URL dirige les utilisateurs vers des sites contr\u00f4l\u00e9s par l’acteur qui h\u00e9bergent un dropper initial, mais seulement apr\u00e8s avoir d\u00e9termin\u00e9 si la victime appartient \u00e0 un pays qui fait partie des cibles du groupe. Sinon, ils sont dirig\u00e9s vers le site de l’organisation dont les attaquants se font passer pour.<\/p>\n \u00ab Cette redirection g\u00e9ographique emp\u00eache le signalement de nouveaux sites malveillants et contrecarre la traque et l’analyse de ces attaques \u00bb, a d\u00e9clar\u00e9 le fournisseur russe de cybers\u00e9curit\u00e9.<\/p>\n Le dropper initial se pr\u00e9sente sous la forme d’une archive ZIP compress\u00e9e, qui, \u00e0 son tour, int\u00e8gre un script Visual Basic (VBS) charg\u00e9 de r\u00e9cup\u00e9rer la charge utile de l’\u00e9tape suivante \u00e0 partir d’un serveur distant cod\u00e9 en dur. Ces serveurs peuvent aller des sites d’h\u00e9bergement d’images \u00e0 Pastebin en passant par des services l\u00e9gitimes comme Discord et GitHub.<\/p>\n Le malware de deuxi\u00e8me \u00e9tape, souvent masqu\u00e9 \u00e0 l’aide de m\u00e9thodes st\u00e9ganographiques, est une DLL ou un injecteur .NET qui contacte ensuite un autre serveur malveillant pour r\u00e9cup\u00e9rer le cheval de Troie de la derni\u00e8re \u00e9tape.<\/p>\n \u00ab Le groupe utilise souvent des techniques d’injection de processus pour ex\u00e9cuter le RAT dans la m\u00e9moire d’un processus l\u00e9gitime, \u00e9chappant ainsi aux d\u00e9fenses bas\u00e9es sur les processus \u00bb, a d\u00e9clar\u00e9 Kaspersky.<\/p>\n \u00ab La technique pr\u00e9f\u00e9r\u00e9e du groupe est processus de creusement<\/a>. Cette technique consiste \u00e0 cr\u00e9er un processus l\u00e9gitime dans un \u00e9tat suspendu, puis \u00e0 d\u00e9mapper sa m\u00e9moire, \u00e0 la remplacer par une charge utile malveillante, et enfin \u00e0 reprendre le processus pour d\u00e9marrer l’ex\u00e9cution.<\/p>\n L’utilisation de versions modifi\u00e9es de RAT open source donne \u00e0 Blind Eagle la flexibilit\u00e9 de modifier ses campagnes \u00e0 volont\u00e9, en les utilisant pour le cyberespionnage ou pour capturer les informations d’identification des services financiers colombiens \u00e0 partir du navigateur de la victime lorsque les titres des fen\u00eatres sont compar\u00e9s \u00e0 une liste pr\u00e9d\u00e9finie de cha\u00eenes dans le malware.<\/p>\n D’autre part, des versions modifi\u00e9es de NjRAT ont \u00e9t\u00e9 observ\u00e9es, \u00e9quip\u00e9es de fonctions d’enregistrement de frappe et de capture d’\u00e9cran pour collecter des informations sensibles. De plus, la version mise \u00e0 jour prend en charge l’installation de plugins suppl\u00e9mentaires envoy\u00e9s depuis un serveur pour augmenter ses fonctionnalit\u00e9s.<\/p>\n Les changements s’\u00e9tendent \u00e9galement aux cha\u00eenes d’attaque. Pas plus tard qu’en juin 2024, AsyncRAT a \u00e9t\u00e9 distribu\u00e9 via un chargeur de malware baptis\u00e9 Hijack Loader, ce qui sugg\u00e8re un haut niveau d’adaptabilit\u00e9 de la part des acteurs de la menace. Cela sert \u00e9galement \u00e0 souligner l’ajout de nouvelles techniques pour soutenir leurs op\u00e9rations.<\/p>\n \u00ab Les techniques et proc\u00e9dures de BlindEagle sont simples \u00e0 premi\u00e8re vue, mais leur efficacit\u00e9 permet au groupe de maintenir un niveau d’activit\u00e9 \u00e9lev\u00e9 \u00bb, conclut Kaspersky. \u00ab En menant r\u00e9guli\u00e8rement des campagnes de cyberespionnage et de vol d’informations financi\u00e8res, Blind Eagle demeure une menace importante dans la r\u00e9gion.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Les-pirates-de-Blind-Eagle-exploitent-le-spear-phishing-pour-deployer.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n