L’acteur de menace connue sous le nom Loup-garou collant<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 des attaques cibl\u00e9es principalement en Russie et en Bi\u00e9lorussie dans le but de livrer le malware du voleur de Lumma au moyen d’un implant pr\u00e9alablement sans papiers.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Kaspersky suit l’activit\u00e9 sous le nom de Angry Likho, qui, selon elle, a une “ressemblance forte” \u00e0 Awaken Likho (aka Core Werewolf, Gamacopy et Pseudogamaredon).<\/p>\n “Cependant, les attaques de Likho en col\u00e8re ont tendance \u00e0 \u00eatre cibl\u00e9es, avec une infrastructure plus compacte, une gamme limit\u00e9e d’implants et un accent sur les employ\u00e9s de grandes organisations, y compris les agences gouvernementales et leurs entrepreneurs”, la soci\u00e9t\u00e9 russe dit<\/a>.<\/p>\n Il est soup\u00e7onn\u00e9 que les acteurs de la menace sont probablement des orateurs russes natifs \u00e9tant donn\u00e9 l’utilisation de la russe fluide dans les fichiers d’app\u00e2ts utilis\u00e9s pour d\u00e9clencher la cha\u00eene d’infection. Le mois dernier, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 F6 (anciennement FACCT) l’a d\u00e9crit comme un \u00abgroupe de cyberspie pro-ukrainien\u00bb.<\/p>\n Les assaillants ont \u00e9t\u00e9 principalement distincts des organisations en Russie et en B\u00e9larus, avec des centaines de victimes identifi\u00e9es dans la premi\u00e8re.<\/p>\n Pr\u00e9c\u00e9dent<\/a> intrusion activit\u00e9s<\/a> Associ\u00e9 au groupe a exploit\u00e9 les e-mails de phishing en tant que conduit pour distribuer diverses familles de logiciels malveillants tels que Netwire, Rhadamanthys, Ozone Rat et une porte d\u00e9rob\u00e9e connue sous le nom de Darktrack, dont la derni\u00e8re est lanc\u00e9e via un chargeur appel\u00e9 Ande Loder.<\/p>\n La s\u00e9quence d’attaque implique l’utilisation d’e-mails de phisseur de lance portant une pi\u00e8ce jointe pi\u00e9g\u00e9e (par exemple, les fichiers d’archives), dans lesquels se trouvent deux fichiers de raccourci Windows (LNK) et un document de leurre l\u00e9gitime.<\/p>\n Les fichiers d’archives sont charg\u00e9s de faire avancer l’activit\u00e9 malveillante \u00e0 la prochaine \u00e9tape, lib\u00e9rant un processus complexe en plusieurs \u00e9tapes pour d\u00e9ployer le voleur d’informations Lumma.<\/p>\n “Cet implant a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 l’aide du programme d’installation de source ouverte l\u00e9gitime, du syst\u00e8me d’installation scriptable nullsoft et fonctionne comme une archive auto-extraite (SFX)”, a d\u00e9clar\u00e9 Kaspersky.<\/p>\n Les attaques ont \u00e9t\u00e9 observ\u00e9es en incorporant des \u00e9tapes pour \u00e9chapper \u00e0 la d\u00e9tection par les fournisseurs de s\u00e9curit\u00e9 au moyen d’une v\u00e9rification des \u00e9mulateurs et des environnements de sable, ce qui fait que les logiciels malveillants se terminent ou reprennent apr\u00e8s un retard de 10 000 ms, une technique \u00e9galement rep\u00e9r\u00e9e dans les implants Awaken Likho.<\/p>\n Ce chevauchement a soulev\u00e9 la possibilit\u00e9 que les attaquants derri\u00e8re les deux campagnes partagent la m\u00eame technologie ou probablement le m\u00eame groupe en utilisant un ensemble diff\u00e9rent d’outils pour diff\u00e9rentes cibles et t\u00e2ches.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Le-loup-garou-collant-utilise-un-implant-sans-papiers-pour-deployer.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n