{"id":1596785,"date":"2025-03-26T15:58:39","date_gmt":"2025-03-26T17:58:39","guid":{"rendered":"https:\/\/teknomers.com\/fr\/redcurl-passe-de-lespionnage-a-des-ransomwares-avec-un-premier-deploiement-qwcrypt\/"},"modified":"2025-03-26T15:58:45","modified_gmt":"2025-03-26T17:58:45","slug":"redcurl-passe-de-lespionnage-a-des-ransomwares-avec-un-premier-deploiement-qwcrypt","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/redcurl-passe-de-lespionnage-a-des-ransomwares-avec-un-premier-deploiement-qwcrypt\/","title":{"rendered":"Redcurl passe de l’espionnage \u00e0 des ransomwares avec un premier d\u00e9ploiement QWCrypt"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>26 mars 2025<\/span>\ue804<\/i>The Hacker News<\/span><\/span>Ransomware \/ S\u00e9curit\u00e9 des points de terminaison<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Le groupe de piratage russe appel\u00e9 Redcurl<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne de ransomwares pour la premi\u00e8re fois, marquant un d\u00e9part dans le m\u00e9tier de l’acteur de menace.<\/p>\n

L’activit\u00e9, observ\u00e9<\/a> Par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 roumaine, Bitdefender, implique le d\u00e9ploiement d’une souche de ransomware jamais vu auparavant baptis\u00e9 QWCrypt.<\/p>\n

Redcurl, \u00e9galement appel\u00e9 Earth Kapre et Red Wolf, a une histoire d’orchestration d’attaques d’espionnage d’entreprise destin\u00e9es \u00e0 diverses entit\u00e9s au Canada, en Allemagne, en Norv\u00e8ge, en Russie, en Slov\u00e9nie, en Ukraine, au Royaume-Uni et aux \u00c9tats-Unis. Il est connu pour \u00eatre actif depuis au moins novembre 2018.<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/div>\n

Cha\u00eenes d’attaque document\u00e9<\/a> En groupe, IB en 2020 impliquait l’utilisation d’e-mails de phission de lance portant des leurres sur le th\u00e8me des ressources humaines (RH) pour activer le processus de d\u00e9ploiement des logiciels malveillants. Plus t\u00f4t en janvier, Huntress d\u00e9taill\u00e9<\/a> Des attaques lanc\u00e9es par l’acteur de menace ciblant plusieurs organisations au Canada pour d\u00e9ployer un chargeur surnomm\u00e9 Redloader avec des “capacit\u00e9s de porte d\u00e9rob\u00e9e simples”.<\/p>\n

Puis le mois dernier, la soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9 Esesentire r\u00e9v\u00e9l\u00e9<\/a> L’utilisation par Redcurl des pi\u00e8ces jointes PDF par Spam se faisant passer pour des CV et des lettres de motivation dans des messages de phishing pour mettre \u00e0 c\u00f4t\u00e9 le logiciel malveillant du chargeur \u00e0 l’aide de l’ex\u00e9cutable Adobe l\u00e9gitime “AdnotificationManager.exe”. <\/p>\n

La s\u00e9quence d’attaque d\u00e9taill\u00e9e par BitDefender retrace les m\u00eames \u00e9tapes, en utilisant des fichiers d’image de disque monable (ISO) d\u00e9guis\u00e9s en CVS pour initier une proc\u00e9dure d’infection en plusieurs \u00e9tapes. Pr\u00e9sente dans l’image du disque se trouve un fichier qui imite un \u00e9conomiseur d’\u00e9cran Windows (SCR) mais, en r\u00e9alit\u00e9, est le binaire AdnotificationManager.exe qui est utilis\u00e9 pour ex\u00e9cuter le chargeur (“NetUtils.dll”) en utilisant le chargement lat\u00e9ral DLL.<\/p>\n

“Apr\u00e8s l’ex\u00e9cution, le netutils.dll lance imm\u00e9diatement un appel ShellexEcutea avec le verbe ouvert, dirigeant le navigateur de la victime \u00e0 https:\/\/secure.indeed.com\/auth”, a d\u00e9clar\u00e9 Martin Zugec, directeur des solutions techniques \u00e0 Bitdefender, dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n

“Cela affiche une page de connexion l\u00e9gitime en effet, une distraction calcul\u00e9e con\u00e7ue pour induire la victime en erreur en pensant qu’elle ouvre simplement un CV. Cette tactique d’ing\u00e9nierie sociale fournit une fen\u00eatre pour que les logiciels malveillants fonctionnent non d\u00e9tect\u00e9s.”<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
Source de l’image: Esesentire<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Le chargeur, par bitdefender, agit \u00e9galement comme t\u00e9l\u00e9chargeur pour une DLL de porte d\u00e9rob\u00e9e \u00e0 la prochaine \u00e9tape, tout en \u00e9tablissant de la persistance sur l’h\u00f4te au moyen d’une t\u00e2che planifi\u00e9e. La DLL nouvellement r\u00e9cup\u00e9r\u00e9e est ensuite ex\u00e9cut\u00e9e \u00e0 l’aide de l’assistant de compatibilit\u00e9 du programme (Pcalua.exe), une technique d\u00e9taill\u00e9e par Trend Micro en mars 2024.<\/p>\n

L’acc\u00e8s accord\u00e9 par l’implant ouvre la voie \u00e0 un mouvement lat\u00e9ral, permettant \u00e0 l’acteur de menace de naviguer dans le r\u00e9seau, de recueillir des renseignements et de d\u00e9g\u00e9n\u00e9rer davantage leur acc\u00e8s. Mais dans ce qui semble \u00eatre un pivot majeur de leur modus operandi \u00e9tabli, une de ces attaques a \u00e9galement conduit au d\u00e9ploiement de ransomwares pour la premi\u00e8re fois.<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/div>\n

“Ce ciblage cibl\u00e9 peut \u00eatre interpr\u00e9t\u00e9 comme une tentative d’infliger un maximum de d\u00e9g\u00e2ts avec un minimum d’effort”, a d\u00e9clar\u00e9 Zugec. “En cryptant les machines virtuelles h\u00e9berg\u00e9es sur les hyperviseurs, ce qui les rend inoverables, Redcurl d\u00e9sactive efficacement toute l’infrastructure virtualis\u00e9e, impactant tous les services h\u00e9berg\u00e9s.”<\/p>\n

L’ex\u00e9cutable Ransomware, en plus de l’utilisation de la technique Bring Your Own Vulnerable Driver (BYOVD) pour d\u00e9sactiver le logiciel de s\u00e9curit\u00e9 des points de terminaison, prend des mesures pour recueillir des informations syst\u00e8me avant de lancer la routine de cryptage. De plus, la note de ran\u00e7on supprim\u00e9e apr\u00e8s le cryptage semble \u00eatre inspir\u00e9e par les groupes Lockbit, Hardbit et Mimic.<\/p>\n

“Cette pratique de r\u00e9utilisation du texte de la note de ran\u00e7on existante soul\u00e8ve des questions sur les origines et les motivations du groupe Redcurl”, a d\u00e9clar\u00e9 Zugec. “Notamment, aucun site de fuite d\u00e9di\u00e9 (DLS) connu n’est associ\u00e9 \u00e0 ce ransomware, et il n’est pas clair si la note de ran\u00e7on repr\u00e9sente une v\u00e9ritable tentative d’extorsion ou une diversion.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant? Cet article est un article contribu\u00e9 de l’un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous Gazouillement \uf099<\/i><\/a> et Liendin<\/a> Pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n