L’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a mis en garde mardi l’activit\u00e9 renouvel\u00e9e d’un groupe criminel organis\u00e9 qu’il suit en tant que UAC-0173 qui implique d’infecter les ordinateurs avec un troyen \u00e0 distance nomm\u00e9 DCRAT (aka DarkCrystal Rat).<\/p>\n
L’Ukrainian Cybersecurity Authority a d\u00e9clar\u00e9 avoir observ\u00e9 la derni\u00e8re vague d’attaque \u00e0 partir de la mi-janvier 2025. L’activit\u00e9 est con\u00e7ue pour cibler le notaire de l’Ukraine.<\/p>\n
La cha\u00eene d’infection tire parti des e-mails de phishing qui pr\u00e9tendent \u00eatre envoy\u00e9s au nom du minist\u00e8re de la Justice d’Ukraine, exhortant les destinataires \u00e0 t\u00e9l\u00e9charger un ex\u00e9cutable qui, une fois lanc\u00e9, conduit au d\u00e9ploiement du malware DCRAT. Le binaire est h\u00e9berg\u00e9 dans le service de stockage Cloud Cloud de CloudFlare.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/CERT-UA-avertit-les-attaques-UAC-0173-deploiement-du-DCRAT-pour-compromettre.jpg\")
<\/a><\/center><\/div>\n“Ayant ainsi fourni un acc\u00e8s primaire au lieu de travail automatis\u00e9 du notary, les attaquants prennent des mesures pour installer des outils suppl\u00e9mentaires, en particulier, RDPWrapper, qui met en \u0153uvre la fonctionnalit\u00e9 des sessions RDP parall\u00e8les, qui, en combinaison avec l’utilisation de l’al\u00e9sage, vous permet d’\u00e9tablir des connexions RDP depuis Internet directement \u00e0 l’ordinateur” dit<\/a>.<\/p>\n Les attaques sont \u00e9galement caract\u00e9ris\u00e9es par l’utilisation d’autres outils et des familles de logiciels malveillants comme Fiddler pour intercepter les donn\u00e9es d’authentification entr\u00e9es dans l’interface Web des registres d’\u00e9tat, NMAP pour la num\u00e9risation r\u00e9seau et XWorm pour voler des donn\u00e9es sensibles, telles que les informations d’identification et le contenu de presse-papiers.<\/p>\n En outre, les syst\u00e8mes compromis sont utilis\u00e9s comme un conduit pour r\u00e9diger et envoyer des e-mails malveillants \u00e0 l’aide de l’utilitaire Sendmail Console afin de propager davantage les attaques.<\/p>\n Le d\u00e9veloppement intervient quelques jours apr\u00e8s que CERT-UA ait attribu\u00e9 un sous-cluster au sein du groupe de piratage de sable (aka APT44, Blizzard Seashell et UAC-0002) \u00e0 l’exploitation d’un d\u00e9faut de s\u00e9curit\u00e9 maintenant paralys\u00e9 dans Microsoft Windows (CVE-2024-38213, score CVSS: 6,5) dans le second semestre de 2024 via des documents de booby.<\/p>\n Les cha\u00eenes d’attaque se sont r\u00e9v\u00e9l\u00e9es ex\u00e9cuter des commandes PowerShell responsables de l’affichage d’un fichier de leurre, tout en lan\u00e7ant simultan\u00e9ment des charges utiles suppl\u00e9mentaires en arri\u00e8re-plan, y compris SecondBest (aka EmpirePast), Spark et un chargeur Golang nomm\u00e9 Crookbag.<\/p>\n L’activit\u00e9, attribu\u00e9<\/a> Pour l’UAC-0212, les soci\u00e9t\u00e9s de fournisseurs ciblaient la Serbie, la R\u00e9publique tch\u00e8que et l’Ukraine entre juillet 2024 et f\u00e9vrier 2025, dont certains enregistr\u00e9s contre plus de deux douzaines d’entreprises ukrainiennes sp\u00e9cialis\u00e9es dans le d\u00e9veloppement de syst\u00e8mes de contr\u00f4le des processus automatis\u00e9es (ACST), les travaux \u00e9lectriques et le transport de fret.<\/p>\n Certaines de ces attaques ont \u00e9t\u00e9 document\u00e9es par Laboratoires Strikeready<\/a> et Microsoft, ce dernier, qui suit le groupe de menaces sous le surnom Badpilot.<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/div>\n