Un acteur de cybercriminalit\u00e9 novice a \u00e9t\u00e9 observ\u00e9 en train de tirer parti des services d’un fournisseur d’h\u00e9bergement de puces russes (BPH) appel\u00e9 Proton66 pour faciliter leurs op\u00e9rations.<\/p>\n
Les r\u00e9sultats proviennent de Domaintools, qui ont d\u00e9tect\u00e9 l’activit\u00e9 apr\u00e8s avoir d\u00e9couvert un site Web de faux nomm\u00e9 CyberseCureProtect[.]com h\u00e9berg\u00e9 sur Proton66 qui se faisait passer pour un service antivirus.<\/p>\n
La soci\u00e9t\u00e9 de renseignement sur les menaces a d\u00e9clar\u00e9 avoir identifi\u00e9 une d\u00e9faillance de la s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC) dans le domaine qui a laiss\u00e9 son infrastructure malveillante expos\u00e9e, r\u00e9v\u00e9lant ainsi les charges utiles malveillantes mise en sc\u00e8ne sur le serveur. <\/p>\n
“Cette r\u00e9v\u00e9lation nous a conduits dans un terrier de lapin dans les op\u00e9rations d’un acteur de menace \u00e9mergent connu sous le nom de Coquettette – un cybercrimin\u00e9t amateur tirant parti de l’h\u00e9bergement pareil de Proton66 pour distribuer des logiciels malveillants et s’engager dans d’autres activit\u00e9s illicites”, il dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n Proton66, \u00e9galement li\u00e9 \u00e0 un autre service d’HBP connu sous le nom de Prospero, a \u00e9t\u00e9 attribu\u00e9<\/a> \u00e0 Plusieurs campagnes<\/a> Distribution des logiciels malveillants et des logiciels malveillants Android comme Gootloader, Matanbuchus, Spynote, Coper (alias Octo) et Socgholish. Les pages de phishing h\u00e9berg\u00e9es sur le service ont \u00e9t\u00e9 propag\u00e9es via des messages SMS pour inciter les utilisateurs \u00e0 entrer dans leurs informations d’identification bancaires et leurs informations de carte de cr\u00e9dit.<\/p>\n Coquettette est l’un de ces acteurs de menace tirant parti des avantages offerts par l’\u00e9cosyst\u00e8me Proton66 pour distribuer des logiciels malveillants sous le couvert d’outils antivirus l\u00e9gitimes.<\/p>\n Cela prend la forme d’une archive zip (“Cybersecure pro.zip”) qui contient un installateur Windows qui t\u00e9l\u00e9charge ensuite un malware de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur distant responsable de la fourniture de charges utiles secondaires \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2) (“” CIA[.]tf “).<\/p>\n La deuxi\u00e8me \u00e9tape est un chargeur class\u00e9 comme rugmi (alias Pens\u00e9e), qui a \u00e9t\u00e9 utilis\u00e9 dans le pass\u00e9 pour d\u00e9ployer des voleurs d’informations comme Lumma, Vidar et Raccoon.<\/p>\n Une analyse plus approfondie des empreintes num\u00e9riques de Coquettet a r\u00e9v\u00e9l\u00e9 un site Web personnel<\/a> sur lequel ils pr\u00e9tendent \u00eatre un “ing\u00e9nieur logiciel de 19 ans, poursuivant un dipl\u00f4me en d\u00e9veloppement de logiciels”.<\/p>\n De plus, la CIA[.]Le domaine TF a \u00e9t\u00e9 enregistr\u00e9 avec l’adresse e-mail “root @ coquettette[.]com, “confirmant que l’acteur de menace contr\u00f4lait le serveur C2 et exploitait le faux site de cybers\u00e9curit\u00e9 en tant que centre de distribution de logiciels malveillants.<\/p>\n “Cela sugg\u00e8re que Coquettette est un jeune individu, peut-\u00eatre un \u00e9tudiant, qui s’aligne sur les erreurs amateur (comme le r\u00e9pertoire ouvert) dans leurs efforts de cybercriminalit\u00e9”, a d\u00e9clar\u00e9 Domaintools.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/OPSEC-FAILS-expose-les-campagnes-de-logiciels-malveillants-de-Coquettet.jpg\")
<\/a><\/center><\/div>\n