Le Moyen-Orient et l’Afrique du Nord sont devenus la cible d’une nouvelle campagne qui fournit une version modifi\u00e9e d’un malware connu appel\u00e9 Asyncrat<\/a> Depuis septembre 2024.<\/p>\n “La campagne, qui tire parti des m\u00e9dias sociaux pour distribuer des logiciels malveillants, est li\u00e9 au climat g\u00e9opolitique actuel de la r\u00e9gion”, les chercheurs de technologies positives Klimentiy Galkin et Stanislav Pyzhov dit<\/a> Dans une analyse publi\u00e9e la semaine derni\u00e8re. “Les attaquants h\u00e9bergent des logiciels malveillants dans des comptes de partage de fichiers en ligne l\u00e9gitimes ou des canaux t\u00e9l\u00e9grammes mis en place sp\u00e9cialement \u00e0 cet effet.”<\/p>\n On estime que la campagne a r\u00e9clam\u00e9 environ 900 victimes depuis l’automne 2024, a ajout\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, indiquant sa nature r\u00e9pandue. La majorit\u00e9 des victimes sont situ\u00e9es en Libye, en Arabie saoudite, en \u00c9gypte, en Turquie, aux \u00c9mirats arabes unis, au Qatar et en Tunisie.<\/p>\n L’activit\u00e9, attribu\u00e9e \u00e0 un acteur de menace surnomm\u00e9 D\u00e9sert dexter<\/strong>a \u00e9t\u00e9 d\u00e9couvert en f\u00e9vrier 2025. Il implique principalement de cr\u00e9er des comptes temporaires et des cha\u00eenes d’information sur Facebook. Ces comptes sont ensuite utilis\u00e9s pour publier des publicit\u00e9s contenant des liens vers un service de partage de fichiers ou un canal t\u00e9l\u00e9gramme.<\/p>\n Les liens, \u00e0 leur tour, redirigent les utilisateurs vers une version du logiciel malveillant asyncrat qui a \u00e9t\u00e9 modifi\u00e9 pour inclure un Keylogger hors ligne; rechercher 16 extensions et applications de portefeuille de crypto-monnaie diff\u00e9rentes; et communiquez avec un bot t\u00e9l\u00e9gramme.<\/p>\n La cha\u00eene Kill commence par une archive RAR qui comprend un script de lot ou un fichier JavaScript, qui sont programm\u00e9es pour ex\u00e9cuter un script PowerShell responsable du d\u00e9clenchement de la deuxi\u00e8me \u00e9tape de l’attaque.<\/p>\n Plus pr\u00e9cis\u00e9ment, il met fin aux processus associ\u00e9s \u00e0 divers services .NET qui pourraient emp\u00eacher les logiciels malveillants de d\u00e9marrer, supprime les fichiers avec les extensions BAT, PS1 et VBS \u00e0 partir des dossiers “C: ProgramData Windowshost” et “C: Users public”, et cr\u00e9e un fichier VBS dans C: ProgramData Windowshost, and Bat et ps1 Files in C: Users public.<\/p>\n Le script \u00e9tablit ensuite la persistance sur le syst\u00e8me, rassemble et exfiltre les informations du syst\u00e8me \u00e0 un bot t\u00e9l\u00e9gramme, prend une capture d’\u00e9cran et lance finalement la charge utile asyncrat en l’injectant dans le “ASPNET_COMPILER.exe” ex\u00e9cutable.<\/p>\n On ne sait actuellement pas qui est \u00e0 l’origine de la campagne, bien que les commentaires de la langue arabe dans le fichier JavaScript font allusion \u00e0 leur origine possible.<\/p>\n Une analyse plus approfondie des messages envoy\u00e9s au bot t\u00e9l\u00e9gramme a r\u00e9v\u00e9l\u00e9 des captures d’\u00e9cran du propre bureau de l’attaquant nomm\u00e9 “Dextermsi”, avec le script PowerShell ainsi qu’un outil nomm\u00e9 Rat de liaison luminosit\u00e9<\/a>. Le bot t\u00e9l\u00e9gramme est \u00e9galement pr\u00e9sent un lien vers un canal t\u00e9l\u00e9gramme nomm\u00e9 “dext\u00e9ralement<\/a>“sugg\u00e9rant que l’acteur de menace pourrait provenir de la Libye. La cha\u00eene a \u00e9t\u00e9 cr\u00e9\u00e9e le 5 octobre 2024.<\/p>\n \u00abLa majorit\u00e9 des victimes sont des utilisateurs ordinaires, y compris les employ\u00e9s dans les secteurs suivants: production de p\u00e9trole, construction, technologies de l’information, [and] Agriculture “, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Les outils utilis\u00e9s par Desert Dexter ne sont pas particuli\u00e8rement sophistiqu\u00e9s. Cependant, la combinaison d’annonces Facebook avec des services l\u00e9gitimes et des r\u00e9f\u00e9rences \u00e0 la situation g\u00e9opolitique a conduit \u00e0 l’infection de nombreux appareils.”<\/p>\n Le d\u00e9veloppement vient comme Qianxin r\u00e9v\u00e9l\u00e9<\/a> D\u00e9tails d’une campagne de phistes de lance surnomm\u00e9e Op\u00e9ration Sea Elephant qui a \u00e9t\u00e9 trouv\u00e9 ciblant les institutions de recherche scientifique en Chine dans le but de fournir une porte d\u00e9rob\u00e9e capable de r\u00e9colter des informations sensibles li\u00e9es aux sciences et aux technologies de l’oc\u00e9an.<\/p>\n L’activit\u00e9 a \u00e9t\u00e9 attribu\u00e9e \u00e0 un cluster nomm\u00e9 UTG-Q-011, qui, a-t-il dit, est un sous-ensemble au sein d’un autre collectif contradictoire appel\u00e9 groupe CNC qui partage des chevauchements tactiques avec le patchwork, un acteur de menace soup\u00e7onn\u00e9<\/a> \u00eatre de l’Inde.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Desert-Dexter-cible-900-victimes-a-laide-de-publicites-Facebook.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n