Un acteur de menaces d’\u00c9tat-nation avec des liens avec la Cor\u00e9e du Nord a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne en cours ciblant les secteurs sud-cor\u00e9ens des affaires, du gouvernement et de la crypto-monnaie.<\/p>\n
La campagne d’attaque, surnomm\u00e9e Profond # Drive<\/strong> Par Securonix, a \u00e9t\u00e9 attribu\u00e9 \u00e0 un groupe de piratage connu sous le nom de Kimsuky, qui est \u00e9galement suivi sous les noms APT43, Black Banshee, Emerald Sleet, Sparkling Poissons, Springtail, TA427 et Velvet Chollima.<\/p>\n “Tiration des leurres de phishing sur mesure \u00e9crits en cor\u00e9en et d\u00e9guis\u00e9 en documents l\u00e9gitimes, les attaquants ont r\u00e9ussi \u00e0 infiltrer des environnements cibl\u00e9s”, les chercheurs en s\u00e9curit\u00e9 den Iuzvyk et Tim Peck dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News, d\u00e9crivant l’activit\u00e9 comme une “op\u00e9ration sophistiqu\u00e9e et en plusieurs \u00e9tapes”.<\/p>\n Les documents de leurre, envoy\u00e9s via des e-mails de phishing sous forme de fichiers .hwp, .xlsx et .pptx, sont d\u00e9guis\u00e9s en journaux de travail, en documents d’assurance et en fichiers li\u00e9s \u00e0 la crypto pour inciter les destinataires \u00e0 les ouvrir, d\u00e9clenchant ainsi le processus d’infection.<\/p>\n La cha\u00eene d’attaque est remarquable pour sa forte d\u00e9pendance \u00e0 l’\u00e9gard des scripts PowerShell \u00e0 diff\u00e9rentes \u00e9tapes, notamment la livraison de la charge utile, la reconnaissance et l’ex\u00e9cution. Il est \u00e9galement caract\u00e9ris\u00e9 par l’utilisation de Dropbox pour la distribution de la charge utile et l’exfiltration des donn\u00e9es.<\/p>\n Tout commence par une archive zip contenant un seul fichier de raccourci Windows (.lnk) qui se cache en tant que document l\u00e9gitime, qui, lorsqu’il est extrait et lanc\u00e9, d\u00e9clenche l’ex\u00e9cution du code PowerShell pour r\u00e9cup\u00e9rer et afficher un document de lutte \u00c9tablir de la persistance sur l’h\u00f4te Windows via une t\u00e2che planifi\u00e9e nomm\u00e9e “ChromeupdateTaskMachine”.<\/p>\n Un tel document de leurre, \u00e9crit en cor\u00e9en, concerne un plan de travail de s\u00e9curit\u00e9 pour les op\u00e9rations de chariot \u00e9l\u00e9vateur dans un centre de logistique, se plongeant dans la manipulation s\u00fbre des cargaisons lourdes et d\u00e9crivant les moyens de garantir la conformit\u00e9 aux normes de s\u00e9curit\u00e9 au travail.<\/p>\n Le script PowerShell est \u00e9galement con\u00e7u pour contacter le m\u00eame emplacement Dropbox pour r\u00e9cup\u00e9rer un autre script PowerShell responsable de la collecte et de l’exfiltration d’informations syst\u00e8me. En outre, il laisse tomber un troisi\u00e8me script PowerShell qui est finalement responsable de l’ex\u00e9cution d’un assemblage .NET inconnu.<\/p>\n “L’utilisation de l’authentification bas\u00e9e sur les jetons OAuth pour les interactions API Dropbox a permis une exfiltration transparente des donn\u00e9es de reconnaissance, telles que les informations du syst\u00e8me et les processus actifs, aux dossiers pr\u00e9d\u00e9termin\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/LAPT43-nord-coreen-utilise-PowerShell-et-Dropbox-dans-les-cyberattaques-ciblees.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n