Une campagne malveillante surnomm\u00e9e Graine<\/strong> Tire parti des informations d’identification compromises associ\u00e9es aux outils de gestion de la relation client (CRM) et aux fournisseurs de courriels en vrac pour envoyer des messages de spam contenant des phrases de graines de crypto-monnaie dans le but de drainer les portefeuilles num\u00e9riques des victimes.<\/p>\n “Les receveurs du spam en vrac sont cibl\u00e9s avec une attaque d’empoisonnement de la phrase de graines de crypto-monnaie” dit<\/a> dans une analyse. “Dans le cadre de l’attaque, Poisoned fournit des phrases de semences de s\u00e9curit\u00e9 pour que les victimes potentielles les copieraient et les collent dans de nouveaux portefeuilles de crypto-monnaie pour un compromis futur.”<\/p>\n Les cibles des graines empoisonn\u00e9es comprennent les organisations d’entreprise et les individus en dehors de l’industrie des crypto-monnaies. Les soci\u00e9t\u00e9s de crypto comme Coinbase et Ledger et les fournisseurs de courriels en vrac tels que MailChimp, SendGrid, HubSpot, Mailgun et Zoho font partie des soci\u00e9t\u00e9s de crypto cibl\u00e9es.<\/p>\n L’activit\u00e9 est \u00e9valu\u00e9e comme \u00e9tant distincte de deux acteurs de menace align\u00e9s vaguement, araign\u00e9e dispers\u00e9e et cryptochameleon, qui font tous deux partie d’un \u00e9cosyst\u00e8me de cybercriminalit\u00e9 plus large appel\u00e9 COM. Certains aspects de la campagne ont d\u00e9j\u00e0 \u00e9t\u00e9 divulgu\u00e9s par un chercheur en s\u00e9curit\u00e9 Troy Hunt<\/a> et Ordinateur de bip<\/a> mois dernier.<\/p>\n Les attaques impliquent les acteurs de la menace qui mettent en place des pages de phishing par look pour les soci\u00e9t\u00e9s de messagerie CRM et en vrac pro\u00e9minentes, visant \u00e0 inciter les objectifs de grande valeur \u00e0 fournir leurs informations d’identification. Une fois les informations d’identification obtenues, les adversaires proc\u00e8dent \u00e0 la cr\u00e9ation d’une cl\u00e9 API pour assurer la persistance m\u00eame si le mot de passe vol\u00e9 est r\u00e9initialis\u00e9 par son propri\u00e9taire.<\/p>\n Dans la phase suivante, les op\u00e9rateurs exportent des listes de diffusion \u00e0 l’aide d’un outil automatis\u00e9 et envoient un spam \u00e0 partir de ces comptes compromis. Les messages de spam de la cha\u00eene d’approvisionnement post-CRM compromises informent les utilisateurs qu’ils doivent configurer un nouveau portefeuille Coinbase en utilisant la phrase de graines int\u00e9gr\u00e9e dans l’e-mail.<\/p>\n L’objectif final des attaques est d’utiliser la m\u00eame phrase de r\u00e9cup\u00e9ration pour d\u00e9tourner les comptes et transf\u00e9rer des fonds de ces portefeuilles. Les liens vers Spider Spider et Cryptochameleon proviennent de l’utilisation d’un domaine (“MailChimp-SSO[.]com “) qui a \u00e9t\u00e9 pr\u00e9c\u00e9demment identifi\u00e9 comme utilis\u00e9 par le premier, ainsi que le ciblage historique par Cryptochameleon de Coinbase et de Ledger.<\/p>\n Cela dit, le kit de phishing<\/a> Utilis\u00e9 par Poisonseed ne partage aucune similitude avec ceux utilis\u00e9s par les deux autres grappes de menaces, ce qui soul\u00e8ve la possibilit\u00e9 qu’il s’agisse d’un tout nouveau kit de phishing de Cryptochameleon ou d’un acteur de menace diff\u00e9rent qui utilise simplement des m\u00e9tiers similaires.<\/p>\n Le d\u00e9veloppement intervient alors qu’un acteur de menace russe a \u00e9t\u00e9 observ\u00e9 \u00e0 l’aide de pages de phishing h\u00e9berg\u00e9es sur CloudFlare Pages.dev et Workers.Dev pour fournir des logiciels malveillants qui peuvent contr\u00f4ler \u00e0 distance les h\u00f4tes Windows infect\u00e9s. UN it\u00e9ration pr\u00e9c\u00e9dente<\/a> de la campagne a \u00e9galement distribu\u00e9 le voleur d’informations STALC.<\/p>\n “Cette campagne r\u00e9cente tire parti des pages de phishing de marque Cloudflare sur le th\u00e8me autour de DMCA (Digital Millennium Copyright Act) Avis de retrait servis dans plusieurs domaines”, Hunt.io dit<\/a>.<\/p>\n “The lure abuses the ms-search protocol to download a malicious LNK file disguised as a PDF via a double extension. Once executed, the malware checks in with an attacker-operated Telegram bot-sending the victim’s IP address-before transitioning to Pyramide C2<\/a> pour contr\u00f4ler l’h\u00f4te infect\u00e9. “<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Poisonseed-exploite-les-comptes-CRM-pour-lancer.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n