Les fournisseurs de services Internet (FAI) en Chine et la c\u00f4te ouest des \u00c9tats-Unis sont devenus la cible d’une campagne d’exploitation de masse qui d\u00e9ploie des voleurs d’informations et des mineurs de crypto-monnaie sur des h\u00f4tes compromis.<\/p>\n
Les r\u00e9sultats proviennent de l’\u00e9quipe de recherche sur les menaces de Splunk, qui a d\u00e9clar\u00e9 que l’activit\u00e9 a \u00e9galement conduit \u00e0 la livraison de divers binaires qui facilitent l’exfiltration des donn\u00e9es et offrent des moyens d’\u00e9tablir de la persistance sur les syst\u00e8mes.<\/p>\n
Les acteurs de la menace non identifi\u00e9s ont effectu\u00e9 “des op\u00e9rations intrusives minimales pour \u00e9viter la d\u00e9tection, \u00e0 l’exception des artefacts cr\u00e9\u00e9s par des comptes d\u00e9j\u00e0 compromis”, la soci\u00e9t\u00e9 appartenant \u00e0 Cisco dit<\/a> Dans un rapport technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Cet acteur se d\u00e9place et pivote \u00e9galement principalement en utilisant des outils qui d\u00e9pendent et ex\u00e9cutent des langages de script (par exemple, Python et PowerShell), permettant \u00e0 l’acteur de fonctionner dans des environnements restreints et d’utiliser des appels API (par exemple, Telegram) pour C2 pour C2 [command-and-control] op\u00e9rations. “<\/p>\n Les attaques ont \u00e9t\u00e9 observ\u00e9es en tirant parti des attaques par force brute exploitant des informations d’identification faibles. Ces tentatives d’intrusion proviennent des adresses IP associ\u00e9es \u00e0 l’Europe de l’Est. Plus de 4 000 adresses IP des fournisseurs de FAI auraient \u00e9t\u00e9 sp\u00e9cifiquement cibl\u00e9es.<\/p>\n Apr\u00e8s avoir obtenu un acc\u00e8s initial aux environnements cibles, les attaques se sont av\u00e9r\u00e9es supprimer plusieurs ex\u00e9cutables via PowerShell pour effectuer la num\u00e9risation du r\u00e9seau, le vol d’information et l’exploitation de crypto-monnaie XMRIG en abusant des ressources de calcul de la victime.<\/p>\n Avant l’ex\u00e9cution de la charge utile est une phase pr\u00e9paratoire qui consiste \u00e0 d\u00e9sactiver les fonctionnalit\u00e9s du produit de s\u00e9curit\u00e9 et \u00e0 terminer les services associ\u00e9s \u00e0 la d\u00e9tection du cryptominer.<\/p>\n Le voleur malveillant, en plus de la possibilit\u00e9 de capturer des captures d’\u00e9cran, sert \u00e0 un logiciel malveillant de clipper con\u00e7u pour voler le contenu du presse-papiers en recherchant des adresses de portefeuille pour les crypto-monnaies telles que Bitcoin (BTC), Ethereum (ETH), Binance Chain Bep2 (Ethbep2), Litecoin (LTC) et TRON (TRX).<\/p>\n Les informations recueillies sont ensuite exfiltr\u00e9es \u00e0 un bot t\u00e9l\u00e9gramme. Un binaire infect\u00e9 est \u00e9galement abandonn\u00e9 qui, \u00e0 son tour, lance des charges utiles suppl\u00e9mentaires –<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Plus-de-4-000-IPS-IPS-cibles-dans-des-attaques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n