L’acteur de menace financi\u00e8rement motiv\u00e9 connu sous le nom de FIN7 a \u00e9t\u00e9 li\u00e9 \u00e0 une porte d\u00e9rob\u00e9e bas\u00e9e \u00e0 Python appel\u00e9e Anubis (\u00e0 ne pas confondre avec un chevalier bancaire Android du m\u00eame nom) qui peut leur accorder un acc\u00e8s \u00e0 distance \u00e0 des syst\u00e8mes Windows compromis.<\/p>\n
“Ce logiciel malveillant permet aux attaquants d’ex\u00e9cuter des commandes de shell distant et d’autres op\u00e9rations syst\u00e8me, ce qui leur donne un contr\u00f4le total sur une machine infect\u00e9e”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suisse dit<\/a> Dans un rapport technique du malware.<\/p>\n Fin7, \u00e9galement appel\u00e9 Carbon Spider, Elbrus, Gold Niagara, Sangria Tempest et Savage Ladybug, est un groupe de cybercriminalit\u00e9 russe connu pour son en constante \u00e9volution<\/a> et expansion<\/a> Ensemble de familles de logiciels malveillants pour obtenir l’acc\u00e8s initial et l’exfiltration des donn\u00e9es. Ces derni\u00e8res ann\u00e9es, l’acteur de menace aurait pass\u00e9 \u00e0 un affili\u00e9 des ransomwares.<\/p>\n En juillet 2024, le groupe a \u00e9t\u00e9 observ\u00e9 \u00e0 l’aide de divers alias en ligne pour annoncer un outil appel\u00e9 Aukill (aka avneutralizer) capable de mettre fin aux outils de s\u00e9curit\u00e9 dans une tentative probable de diversifier sa strat\u00e9gie de mon\u00e9tisation.<\/p>\n Anubis serait propag\u00e9 via des campagnes de Malspam qui incitent g\u00e9n\u00e9ralement les victimes \u00e0 ex\u00e9cuter la charge utile h\u00e9berg\u00e9e sur des sites SharePoint compromis.<\/p>\n Livr\u00e9 sous la forme d’une archive zip, le point d’entr\u00e9e de l’infection est un script Python con\u00e7u pour d\u00e9crypter et ex\u00e9cuter la charge utile obscurci principale directement en m\u00e9moire. Une fois lanc\u00e9, la porte d\u00e9rob\u00e9e \u00e9tablit des communications avec un serveur distant via une prise TCP au format cod\u00e9 Base64.<\/p>\n Les r\u00e9ponses du serveur, \u00e9galement cod\u00e9es en base64, lui permettent de rassembler l’adresse IP de l’h\u00f4te, de t\u00e9l\u00e9charger \/ t\u00e9l\u00e9charger des fichiers, de modifier le r\u00e9pertoire de travail actuel, de saisir des variables d’environnement, d’alt\u00e9rer le registre Windows, de charger les fichiers DLL en m\u00e9moire \u00e0 l’aide de PythonMemoryModule et de se terminer.<\/p>\n Dans une analyse ind\u00e9pendante d’Anubis, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 allemande GDATA dit<\/a> La porte d\u00e9rob\u00e9e prend \u00e9galement en charge la possibilit\u00e9 d’ex\u00e9cuter des r\u00e9ponses fournies par l’op\u00e9rateur en tant que commande shell sur le syst\u00e8me victime.<\/p>\n “Cela permet aux attaquants d’effectuer des actions telles que le keylogging, la prise de captures d’\u00e9cran ou le vol de mots de passe sans stocker directement ces capacit\u00e9s sur le syst\u00e8me infect\u00e9”, a d\u00e9clar\u00e9 Prodaft. “En gardant la porte d\u00e9rob\u00e9e aussi l\u00e9g\u00e8re que possible, ils r\u00e9duisent le risque de d\u00e9tection tout en maintenant la flexibilit\u00e9 pour ex\u00e9cuter d’autres activit\u00e9s malveillantes.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/FIN7-deploie-les-systemes-de-porte-derobee-Anubis-pour-detourner.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n