Les militants de l’opposition au Bi\u00e9lorussie ainsi que les organisations militaires et gouvernementales ukrainiennes sont la cible d’une nouvelle campagne qui utilise des documents Microsoft Excel \u00e0 base de logiciels malveillants comme leurres pour livrer une nouvelle variante de Picassoloader. <\/p>\n
Le cluster de menaces a \u00e9t\u00e9 \u00e9valu\u00e9 comme une extension d’une campagne de longue dur\u00e9e mont\u00e9e par un acteur de menace align\u00e9 sur le B\u00e9larus surnomm\u00e9 Ghostwriter (aka MOonscape, TA445, UAC-0057 et UNC1151) depuis 2016. Il est connu<\/a> pour s’aligner sur les int\u00e9r\u00eats de s\u00e9curit\u00e9 russe et promouvoir les r\u00e9cits critiques de l’OTAN.<\/p>\n “La campagne est en pr\u00e9paration depuis juillet-ao\u00fbt 2024 et est entr\u00e9e dans la phase active de novembre-d\u00e9cembre 2024”, a d\u00e9clar\u00e9 le chercheur Sentin\u00e9lone Tom Hegel dit<\/a> Dans un rapport technique partag\u00e9 avec le Hacker News. “Des \u00e9chantillons de logiciels malveillants r\u00e9cents et une activit\u00e9 d’infrastructure de commandement et de contr\u00f4le (C2) indiquent que l’op\u00e9ration reste active ces derniers jours.”<\/p>\n Le point de d\u00e9part de la cha\u00eene d’attaque analys\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 est un document partag\u00e9 Google Drive issu d’un compte nomm\u00e9 Vladimir Nikiforech et a h\u00e9berg\u00e9 une archive RAR.<\/p>\n Le dossier de rat comprend un classeur Excel malveillant qui, lorsqu’il est ouvert, d\u00e9clenche l’ex\u00e9cution d’une macro obscurcie lorsque les victimes potentielles permettent d’ex\u00e9cuter des macros. La macro continue d’\u00e9crire un fichier DLL qui ouvre finalement la voie \u00e0 une version simplifi\u00e9e de Picassoloader.<\/p>\n Dans la phase suivante, un fichier Excel leurre est affich\u00e9 \u00e0 la victime, tandis que, en arri\u00e8re-plan, des charges utiles suppl\u00e9mentaires sont t\u00e9l\u00e9charg\u00e9es sur le syst\u00e8me. Pas plus tard en juin 2024, cette approche a \u00e9t\u00e9 utilis\u00e9e pour livrer le cadre post-exploitation de la frappe de Cobalt.<\/p>\n Sentinelone a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert d’autres documents Excel arm\u00e9es portant des leurres sur le th\u00e8me de l’Ukraine pour r\u00e9cup\u00e9rer un malware inconnu de deuxi\u00e8me \u00e9tape d’une URL distante (“Sciencelert[.]boutique “) sous la forme d’une image JPG apparemment inoffensive, une technique connue sous le nom de st\u00e9ganographie. Les URL ne sont plus disponibles.<\/p>\n Dans un autre cas, le document Excel pi\u00e9g\u00e9 Booby est utilis\u00e9 pour livrer une DLL nomm\u00e9e LiBCMD, qui est con\u00e7ue pour ex\u00e9cuter CMD.exe et se connecter \u00e0 STDIN \/ STDOUT. Il est directement charg\u00e9 en m\u00e9moire en tant qu’assemblage .NET et ex\u00e9cut\u00e9.<\/p>\n “Tout au long de 2024, Ghostwriter a utilis\u00e9 \u00e0 plusieurs reprises une combinaison de classeurs Excel contenant des macros VBA obfus\u00e9s MacRopack et de t\u00e9l\u00e9chargeurs .NET embarqu\u00e9s avec obfusciation avec Confusionrex<\/a>\u00bb, A d\u00e9clar\u00e9 Hegel.<\/p>\n “Bien que le B\u00e9larus ne participe pas activement \u00e0 des campagnes militaires \u00e0 la guerre en Ukraine, les acteurs cyber-menaces associ\u00e9s ne semblent avoir aucune r\u00e9serve sur la r\u00e9alisation des op\u00e9rations de cyber-espionnage contre les cibles ukrainiennes.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Ghostwriter-lie-a-la-Belarus-utilise-des-macros-Excel-obfiscus.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n