Les chasseurs de menaces ont fait la lumi\u00e8re sur une nouvelle campagne ciblant le minist\u00e8re des Affaires \u00e9trang\u00e8res d’une nation sud-am\u00e9ricaine sans nom avec des logiciels malveillants sur mesure capables d’accorder un acc\u00e8s \u00e0 distance aux h\u00f4tes infect\u00e9s.<\/p>\n
L’activit\u00e9, d\u00e9tect\u00e9e en novembre 2024, a \u00e9t\u00e9 attribu\u00e9e par les laboratoires de s\u00e9curit\u00e9 \u00e9lastiques \u00e0 un cluster de menace qu’il suit comme REF7707<\/strong>. Certaines des autres cibles comprennent une entit\u00e9 de t\u00e9l\u00e9communications et une universit\u00e9, toutes deux situ\u00e9es en Asie du Sud-Est.<\/p>\n “Alors que la campagne Ref7707 est caract\u00e9ris\u00e9e par un ensemble d’intrusion bien con\u00e7u et tr\u00e8s capable, les propri\u00e9taires de campagnes ont montr\u00e9 une mauvaise gestion des campagnes et des pratiques d’\u00e9vasion incoh\u00e9rentes”, les chercheurs en s\u00e9curit\u00e9 Andrew Pease et Seth Goodwin dit<\/a> dans une analyse technique.<\/p>\n Le vecteur d’acc\u00e8s initial exact utilis\u00e9 dans les attaques n’est actuellement pas clair, bien qu’il ait \u00e9t\u00e9 observ\u00e9 que l’application CerUtil de Microsoft est utilis\u00e9e pour t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires \u00e0 partir d’un serveur Web associ\u00e9 au minist\u00e8re des Affaires \u00e9trang\u00e8res.<\/p>\n Les commandes CERUTIL utilis\u00e9es pour r\u00e9cup\u00e9rer les fichiers suspects ont \u00e9t\u00e9 r\u00e9alis\u00e9es via le plugin Shell Remote Shell de Windows Remote Management (Winrshost.exe<\/a>) \u00e0 partir d’un syst\u00e8me source inconnu sur un r\u00e9seau connect\u00e9.<\/p>\n “Cela indique que les attaquants poss\u00e9daient d\u00e9j\u00e0 des r\u00e9f\u00e9rences de r\u00e9seau valides et les utilisaient pour un mouvement lat\u00e9ral \u00e0 partir d’un h\u00f4te pr\u00e9c\u00e9demment compromis dans l’environnement”, ont not\u00e9 les chercheurs.<\/p>\n Le premier des fichiers \u00e0 ex\u00e9cuter est un logiciel malveillant nomm\u00e9 Pathloader qui permet l’ex\u00e9cution de ShellCode crypt\u00e9 re\u00e7u d’un serveur externe. Le shellcode extrait, surnomm\u00e9 FinalDraft, est par la suite inject\u00e9 dans la m\u00e9moire d’un processus “mspaint.exe” nouvellement cr\u00e9\u00e9.<\/p>\n \u00c9crit en C ++, Final<\/a> est un outil d’administration \u00e0 distance complet qui est \u00e9quip\u00e9 de capacit\u00e9s pour ex\u00e9cuter des modules suppl\u00e9mentaires \u00e0 la vol\u00e9e et abuse du service de messagerie Outlook via l’API Microsoft Graph \u00e0 des fins de commande et de contr\u00f4le (C2). Il convient de noter que l’abus de l’API graphique a d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9tect\u00e9 dans une autre porte d\u00e9rob\u00e9e nomm\u00e9e Siestagraph.<\/p>\n Le m\u00e9canisme de communication consiste \u00e0 analyser les commandes stock\u00e9es dans le dossier des brouillons de la bo\u00eete aux lettres et \u00e0 r\u00e9diger les r\u00e9sultats de l’ex\u00e9cution dans de nouveaux projets de courriels pour chaque commande. FinalDraft enregistre 37 gestionnaires de commandes con\u00e7us autour de l’injection de processus, de la manipulation de fichiers et des capacit\u00e9s de proxy r\u00e9seau.<\/p>\n Il est \u00e9galement con\u00e7u pour d\u00e9marrer de nouveaux processus avec des hachages NTLM vol\u00e9s et ex\u00e9cuter des commandes PowerShell d’une mani\u00e8re telle qu’elle n’invoque pas le binaire “powershell.exe”. Au lieu de cela, il corrige plusieurs API pour \u00e9chapper au tra\u00e7age des \u00e9v\u00e9nements pour Windows (ETW) et lance Powerpick<\/a>un utilit\u00e9 l\u00e9gitime<\/a> Cela fait partie de la bo\u00eete \u00e0 outils apr\u00e8s l’exploitation de l’Empire.<\/p>\n Les artefacts binaires ELF t\u00e9l\u00e9charg\u00e9s sur Virustotal du Br\u00e9sil et des \u00c9tats-Unis indiquent la pr\u00e9sence d’une variante Linux de FinalDraft qui pr\u00e9sente une fonctionnalit\u00e9 C2 similaire. La version Linux, pour sa part, peut ex\u00e9cuter des commandes de shell via pivoter<\/a> et se supprimer du syst\u00e8me.<\/p>\n “L’exhaustivit\u00e9 des outils et le niveau d’ing\u00e9nierie impliqu\u00e9e sugg\u00e8rent que les d\u00e9veloppeurs sont bien organis\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs. “Le d\u00e9lai prolong\u00e9 de l’op\u00e9ration et les preuves de notre t\u00e9l\u00e9m\u00e9trie sugg\u00e8rent qu’il s’agit probablement d’une campagne ax\u00e9e sur l’espionnage.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/FinalDraft-Malware-exploite-API-Microsoft-Graph-pour-lespionnage-sur-Windows.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n