L’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a r\u00e9v\u00e9l\u00e9 que pas moins de trois cyberattaques avaient \u00e9t\u00e9 enregistr\u00e9es contre les organismes d’administration de l’\u00c9tat et les installations d’infrastructures critiques dans le pays dans le but de voler des donn\u00e9es sensibles.<\/p>\n
La campagne, l’agence dit<\/a>impliquait l’utilisation de comptes de messagerie compromis pour envoyer des messages de phishing contenant des liens pointant vers des services l\u00e9gitimes comme DropMeFiles et Google Drive. Dans certains cas, les liens sont int\u00e9gr\u00e9s dans les pi\u00e8ces jointes PDF.<\/p>\n Les missives num\u00e9riques ont cherch\u00e9 \u00e0 induire un faux sentiment d’urgence en affirmant qu’une agence gouvernementale ukrainienne pr\u00e9voyait de r\u00e9duire les salaires, exhortant le b\u00e9n\u00e9ficiaire \u00e0 cliquer sur le lien pour afficher la liste des employ\u00e9s touch\u00e9s.<\/p>\n Visiter ces liens conduit au t\u00e9l\u00e9chargement d’un chargeur Visual Basic Script (VBS) con\u00e7u pour r\u00e9cup\u00e9rer et ex\u00e9cuter un script PowerShell capable de r\u00e9colter des fichiers correspondant \u00e0 un ensemble sp\u00e9cifique d’extensions et \u00e0 capturer des captures d’\u00e9cran.<\/p>\n L’activit\u00e9, attribu\u00e9e \u00e0 un cluster de menaces suivie en tant que UAC-0219, serait en cours depuis au moins l’automne 2024, avec les premi\u00e8res it\u00e9rations utilisant une combinaison de binaires EXE, un voleur VBS et un logiciel d’\u00e9diteur d’image l\u00e9gitime appel\u00e9 Irfanview pour r\u00e9aliser ses objectifs.<\/p>\n CERT-UA a donn\u00e9 au VBS Loader et au malware PowerShell le surnom \u00e9pave. Les attaques n’ont \u00e9t\u00e9 attribu\u00e9es \u00e0 aucun pays.<\/p>\n Les cyberattaques suivent la d\u00e9couverte d’une campagne de phishing qui s’est concentr\u00e9e sur les entit\u00e9s de d\u00e9fense et a\u00e9rospatiale avec des liens vers le conflit en cours en Ukraine pour r\u00e9colter les informations d’identification de la carte Web via de fausses pages de connexion.<\/p>\n “Les attaquants semblent avoir construit la page en utilisant Mailu<\/a>un logiciel de serveur de messagerie open source disponible sur GitHub, “L’\u00e9quipe des enqu\u00eates Domaintools (DTI) dit<\/a>.<\/p>\n “L’accent mis sur l’usurpation des organisations impliqu\u00e9es dans les infrastructures de d\u00e9fense et de t\u00e9l\u00e9communications d’Ukraine sugg\u00e8re en outre l’intention de recueillir des renseignements li\u00e9s au conflit en Ukraine. Notamment, de nombreuses d\u00e9fense opcept\u00e9e, a\u00e9rospatiale et informatiques ont apport\u00e9 un soutien aux efforts militaires d’Ukraine dans son conflit avec la Russie.”<\/p>\n Des ensembles d’intrusion align\u00e9s par la Russie tels que UAC-0050 et UAC-0006 ont \u00e9galement \u00e9t\u00e9 observ\u00e9<\/a> Effectuer financi\u00e8rement et des campagnes de spam motiv\u00e9es financi\u00e8res depuis le d\u00e9but de 2025, ciblant principalement divers secteurs verticaux tels que les gouvernements, la d\u00e9fense, l’\u00e9nergie et les ONG, pour distribuer des familles de logiciels malveillants comme Sload, Remcos Rat, NetSupport Rat et SmokeLoader.<\/p>\n Le d\u00e9veloppement intervient alors que Kaspersky a averti que l’acteur de menace connue sous le nom de chef de Mare a cibl\u00e9 plusieurs entit\u00e9s russes avec un logiciel malveillant appel\u00e9 Phantompyramide<\/a> Il est capable de traiter les instructions \u00e9mises par l’op\u00e9rateur sur un serveur de commande et de contr\u00f4le (C2), ainsi que le t\u00e9l\u00e9chargement et l’ex\u00e9cution de charges utiles suppl\u00e9mentaires comme Meshagent.<\/p>\n Les soci\u00e9t\u00e9s d’\u00e9nergie russe, les entreprises industrielles et les fournisseurs et les d\u00e9veloppeurs d’organisations de composants \u00e9lectroniques ont \u00e9galement \u00e9t\u00e9 \u00e0 la fin des attaques de phishing, au nom d’un acteur de menace, Licorne<\/a> Cela a abandonn\u00e9 un VBS Trojan con\u00e7u pour siphonner les fichiers et les images des h\u00f4tes infect\u00e9s.<\/p>\n \u00c0 la fin du mois dernier, SeqRite Labs a r\u00e9v\u00e9l\u00e9 que les r\u00e9seaux acad\u00e9miques, gouvernementaux, a\u00e9rospatiaux et li\u00e9s \u00e0 la d\u00e9fense en Russie sont cibl\u00e9s par des documents de leurre arm\u00e9es, probablement envoy\u00e9s par e-mails de phishing, dans le cadre d’une campagne surnomm\u00e9e l’op\u00e9ration Hollowquill. Les attaques auraient commenc\u00e9 vers d\u00e9cembre 2024.<\/p>\n L’activit\u00e9 utilise des plats d’ing\u00e9nierie sociale, d\u00e9guisant les PDF li\u00e9s aux logiciels malveillants en tant qu’invitations de recherche et communiquants gouvernementaux pour inciter les utilisateurs sans m\u00e9fiance \u00e0 d\u00e9clencher la cha\u00eene d’attaque.<\/p>\n “L’entit\u00e9 de menace fournit un fichier RAR malveillant qui contient un compte-gouttes malveillants .NET, qui laisse en d\u00e9tail un chargeur Shellcode bas\u00e9 sur Golang ainsi que la l\u00e9gitime application OneDrive et un PDF bas\u00e9 sur leur leurre avec une charge utile finale de gr\u00e8ve de Cobalt”, le chercheur en s\u00e9curit\u00e9 Subhajeet Singha dit<\/a>.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/CERT-UA-rapporte-des-cyberattaques-ciblant-les-systemes-dEtat-ukrainiens-avec.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n