L’acteur de menace motiv\u00e9 financi\u00e8rement connu sous le nom Crupthub <\/b>a \u00e9t\u00e9 observ\u00e9 orchestrer des campagnes de phishing sophistiqu\u00e9es pour d\u00e9ployer des voleurs et des ransomwares, tout en travaillant sur un nouveau produit appel\u00e9 Cryptrat<\/b>.<\/p>\n
“Encrypthub a \u00e9t\u00e9 observ\u00e9 ciblant les utilisateurs d’applications populaires, en distribuant des versions trojanis\u00e9es”, Upt24 Krakenlabs dit<\/a> Dans un nouveau rapport partag\u00e9 avec le Hacker News. “En outre, l’acteur de menace a \u00e9galement utilis\u00e9 des services de distribution tiers de la r\u00e9mun\u00e9ration par paiement (PPI).”<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9crit l’acteur de menace comme un groupe de piratage qui fait des erreurs de s\u00e9curit\u00e9 op\u00e9rationnelle et comme quelqu’un qui int\u00e8gre des exploits pour des d\u00e9fauts de s\u00e9curit\u00e9 populaires dans leurs campagnes d’attaque.<\/p>\n Encrypthub, \u00e9galement suivi par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suisse Prodaft en tant que Larva-208, est devenu actif vers la fin juin 2024, en s’appuyant sur une vari\u00e9t\u00e9 d’approches allant de la phishing SMS (smissh) au phishing vocal (Vishing) dans le but de tromper des cibles de prospects dans l’installation du logiciel de surveillance et de gestion de la t\u00e9l\u00e9commande (RMM).<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 au Hacker News que le groupe de phistes de lance \u00e9tait affili\u00e9 \u00e0 des groupes de ransomware RansomHub et noirs et a utilis\u00e9 des tactiques avanc\u00e9es d’ing\u00e9nierie sociale pour compromettre des objectifs de grande valeur dans plusieurs industries.<\/p>\n “L’acteur cr\u00e9e g\u00e9n\u00e9ralement un site de phishing qui cible l’organisation pour obtenir les informations d’identification VPN de la victime”, Prodaft dit<\/a>. “La victime est ensuite appel\u00e9e et invit\u00e9e \u00e0 saisir les d\u00e9tails de la victime dans le site de phishing pour des probl\u00e8mes techniques, se faisant passer pour une \u00e9quipe informatique ou un service d’assistance. Si l’attaque ciblant la victime n’est pas un appel mais un SMS SMS direct, un faux lien Microsoft Teams est utilis\u00e9 pour convaincre la victime.”<\/p>\n Les sites de phishing sont h\u00e9berg\u00e9s sur des fournisseurs d’h\u00e9bergement pare-balles comme Yalishand. Une fois l’acc\u00e8s obtenu, Encrypthub proc\u00e8de \u00e0 l’ex\u00e9cution de scripts PowerShell qui conduisent au d\u00e9ploiement de logiciels malveillants de voleur comme Fickle, Stealc et Rhadamanthys. L’objectif final des attaques dans la plupart des cas est de fournir des ransomwares et de demander une ran\u00e7on.<\/p>\n L’une des autres m\u00e9thodes communes adopt\u00e9es par les acteurs de la menace concerne l’utilisation d’applications transversales d\u00e9guis\u00e9es en logiciel l\u00e9gitime pour l’acc\u00e8s initial. Ceux-ci incluent des versions contrefaites de QQ Talk, QQ Installateur, WeChat, Dingtalk, Voov Meeting, Google Meet, Microsoft Visual Studio 2022 et Palo Alto Global Protect.<\/p>\n Ces applications pi\u00e9g\u00e9es, une fois install\u00e9es, d\u00e9clenchent un processus en plusieurs \u00e9tapes qui agit comme un v\u00e9hicule de livraison pour les charges utiles \u00e0 prochaines \u00e9tages telles que Kematian Stealer pour faciliter le vol de biscuits.<\/p>\n Au moins depuis le 2 janvier 2025, une composante cruciale de la cha\u00eene de distribution d’Encrypthub a \u00e9t\u00e9 l’utilisation d’un tiers IPP<\/a> service<\/a> Surnomm\u00e9 Labinstalls, qui facilite les installations de logiciels malveillants en vrac pour payer les clients \u00e0 partir de 10 $ (100 charges) \u00e0 450 $ (10 000 charges).<\/p>\n “Encrypthub a en effet confirm\u00e9 \u00eatre leur client en laissant des commentaires positifs dans Labinstalls vendant du fil sur le forum souterrain russe de haut niveau XSS, incluant m\u00eame une capture d’\u00e9cran qui prouve l’utilisation du service”, a d\u00e9clar\u00e9 UptPost24.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/EncrypThub-deploie-des-ransomwares-et-du-voleur-via-des-applications.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n