Les chasseurs de menaces attirent l’attention sur une nouvelle campagne de phishing hautement cibl\u00e9e qui a distingu\u00e9 “moins de cinq” entit\u00e9s aux \u00c9mirats arabes unis (EAU) pour livrer une porte d\u00e9rob\u00e9e Golang auparavant sans papiers surnomm\u00e9e Sosano.<\/p>\n
L’activit\u00e9 malveillante a \u00e9t\u00e9 sp\u00e9cifiquement dirig\u00e9e contre les organisations de communication de l’aviation et des satellites, selon Proofpoint, qui l’a d\u00e9tect\u00e9 fin octobre 2024. Unk_craftyCamel<\/strong>.<\/p>\n Un aspect notable de la cha\u00eene d’attaque est le fait que l’adversaire a profit\u00e9 de son acc\u00e8s \u00e0 un compte de messagerie compromis appartenant \u00e0 la soci\u00e9t\u00e9 d’\u00e9lectronique indienne Indic Electronics pour envoyer des messages de phishing. L’entit\u00e9 aurait \u00e9t\u00e9 dans une relation commerciale de confiance avec toutes les cibles, avec les leurres adapt\u00e9s \u00e0 chacun d’eux.<\/p>\n “UNK_CraftyCamel a exploit\u00e9 une soci\u00e9t\u00e9 d’\u00e9lectronique indienne compromise pour cibler moins de cinq organisations aux \u00c9mirats arabes unis avec un fichier zip malveillant qui a exploit\u00e9 plusieurs fichiers polyglots pour installer \u00e9ventuellement un Sosano de BackDoor sur mesure”, a d\u00e9clar\u00e9 Proofpoint dans un rapport<\/a> partag\u00e9 avec les actualit\u00e9s des pirates.<\/p>\n Les e-mails contenaient des URL qui indiquaient un faux domaine se faisant passer pour la soci\u00e9t\u00e9 indienne (“indicortif[.]net “), h\u00e9bergeant une archive zip qui comprenait un fichier XLS et deux fichiers PDF.<\/p>\n Mais en r\u00e9alit\u00e9, le fichier XLS \u00e9tait un raccourci Windows (LNK) \u00e0 l’aide d’une double extension pour se faire passer pour un document Microsoft Excel. Les deux fichiers PDF, en revanche, se sont av\u00e9r\u00e9s \u00eatre des polygloutes: l’une qui a \u00e9t\u00e9 annex\u00e9e avec un fichier d’application HTML (HTA) et l’autre avec une archive zip qui lui est ajout\u00e9e.<\/p>\n Cela signifiait \u00e9galement que les deux fichiers PDF pouvaient \u00eatre interpr\u00e9t\u00e9s comme deux formats valides diff\u00e9rents selon la fa\u00e7on dont ils sont analys\u00e9s \u00e0 l’aide de programmes tels que des explorateurs de fichiers, des outils de ligne de commande et des navigateurs.<\/p>\n La s\u00e9quence d’attaque analys\u00e9e par Proofpoint implique l’utilisation du fichier LNK pour lancer CMD.exe, puis en utilisant mshta.exe pour ex\u00e9cuter le fichier polyglot PDF \/ HTA, conduisant \u00e0 l’ex\u00e9cution du script HTA qui, \u00e0 son tour, contient des instructions pour d\u00e9baller le contenu de l’archive ZIP pr\u00e9sente dans le deuxi\u00e8me PDF.<\/p>\n L’un des fichiers du deuxi\u00e8me PDF est un fichier de raccourci Internet (URL) responsable du chargement d’un binaire, qui recherche par la suite un fichier image qui est finalement Xored<\/a> Avec la cha\u00eene “234567890ABCDEF” pour d\u00e9coder et ex\u00e9cuter la porte d\u00e9rob\u00e9e DLL appel\u00e9e Sosano.<\/p>\n \u00c9crit en Golang, l’implant comporte une fonctionnalit\u00e9 limit\u00e9e pour \u00e9tablir un contact avec un serveur de commande et de contr\u00f4le (C2) et attendre d’autres commandes –<\/p>\n Proofpoint a not\u00e9 que le m\u00e9tier d\u00e9montr\u00e9 par unk_craftyCamel ne chevauche pas d’autres acteurs ou groupes de menace connus.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-iraniens-presumes-ont-utilise-le-courrier-electronique-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n