Les entit\u00e9s en Ukraine ont \u00e9t\u00e9 cibl\u00e9es dans le cadre d’une campagne de phishing con\u00e7ue pour distribuer un cheval de Troie \u00e0 distance appel\u00e9 Remcos Rat.<\/p>\n
“Les noms de dossiers utilisent des mots russes li\u00e9s au mouvement des troupes en Ukraine comme leurre”, a d\u00e9clar\u00e9 le chercheur de Cisco Talos Guilherme Venere dit<\/a> Dans un rapport publi\u00e9 la semaine derni\u00e8re. “Le t\u00e9l\u00e9chargeur PowerShell contacte des serveurs g\u00e9o-cl\u00f4tur\u00e9s situ\u00e9s en Russie et en Allemagne pour t\u00e9l\u00e9charger le fichier zip de deuxi\u00e8me \u00e9tape contenant la porte d\u00e9rob\u00e9e Remcos.”<\/p>\n L’activit\u00e9 a \u00e9t\u00e9 attribu\u00e9e \u00e0 une confiance mod\u00e9r\u00e9e \u00e0 un groupe de piratage russe connu sous le nom de Gamaredon, qui est \u00e9galement suivi sous les surnoms Aqua Blizzard, Armageddon, Blue Otso, Bluealpha, Hive0051, Iron Tilden, Primitive Bear, Shuckworm, Trident Ursa, UAC-0010, UNC530 et Winterflener. <\/p>\n L’acteur de menace, \u00e9valu\u00e9 comme affili\u00e9 au Federal Security Service (FSB) de la Russie, est connu pour son ciblage d’organisations ukrainiennes pour l’espionnage et le vol de donn\u00e9es. C’est op\u00e9rationnel depuis au moins 2013.<\/p>\n La derni\u00e8re campagne est caract\u00e9ris\u00e9e par la distribution des fichiers de raccourci Windows (LNK) compress\u00e9s \u00e0 l’int\u00e9rieur des archives ZIP, les d\u00e9guisant en documents Microsoft Office li\u00e9s \u00e0 la guerre Russo-Ukrainienne en cours pour inciter les destinataires \u00e0 leur ouvrir. On pense que ces archives sont envoy\u00e9es par e-mails de phishing.<\/p>\n Les liens vers Gamaredon proviennent de l’utilisation de deux machines utilis\u00e9es pour cr\u00e9er les fichiers de raccourci malveillants et qui \u00e9taient pr\u00e9c\u00e9demment utilis\u00e9<\/a> par l’acteur de menace \u00e0 des fins similaires.<\/p>\n Les fichiers LNK sont \u00e9quip\u00e9s d’un code PowerShell responsable du t\u00e9l\u00e9chargement et de l’ex\u00e9cution du Command de commande de commande utile \u00e0 la prochaine \u00e9tape, ainsi que de r\u00e9cup\u00e9rer un fichier de leurre qui est affich\u00e9 \u00e0 la victime pour maintenir la ruse.<\/p>\n La deuxi\u00e8me \u00e9tape est une autre archive zip, qui contient une DLL malveillante \u00e0 ex\u00e9cuter via une technique appel\u00e9e chargement DLL. La DLL est un chargeur qui d\u00e9crypte et ex\u00e9cute la charge utile finale Remcos \u00e0 partir de fichiers crypt\u00e9s pr\u00e9sents dans l’archive.<\/p>\n La divulgation intervient alors que le push silencieux d\u00e9taill\u00e9 une campagne de phishing qui utilise des leurres de site Web pour recueillir des informations contre des individus russes sympathiques \u00e0 l’Ukraine. L’activit\u00e9 est consid\u00e9r\u00e9e comme l’\u0153uvre de services de renseignement russe ou d’un acteur de menace align\u00e9 avec la Russie.<\/p>\n La campagne se compose de quatre principaux grappes de phishing, imitant la US Central Intelligence Agency (CIA), le Russian Volunteer Corps, Legion Liberty et Hochuzhit “I Want To Live” hotline<\/a> pour avoir re\u00e7u des appels de militaires russes en Ukraine \u00e0 se rendre aux forces arm\u00e9es ukrainiennes.<\/p>\n Les pages de phishing ont \u00e9t\u00e9 organis\u00e9es sur un fournisseur d’h\u00e9bergement \u00e0 l’\u00e9preuve des balles, Nybula LLC, les acteurs de la menace comptant sur les formulaires Google et les r\u00e9ponses par e-mail pour recueillir des informations personnelles, y compris leurs opinions politiques, leurs mauvaises habitudes et leur forme physique, des victimes.<\/p>\n “Toutes les campagnes […] observ\u00e9s ont eu des traits similaires et partag\u00e9 un objectif commun: la collecte d’informations personnelles aupr\u00e8s des victimes de visiter le site ” dit<\/a>. “Ces pots de miel de phishing sont probablement le travail des services de renseignement russe ou un acteur de menace align\u00e9 sur les int\u00e9r\u00eats russes.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Gamaredon-lie-a-la-Russie-utilise-des-leurres-de-troupes.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n