L’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a r\u00e9v\u00e9l\u00e9<\/a> Un nouvel ensemble de cyberattaques ciblant les institutions ukrainiennes avec des logiciels malveillants de vol d’information.<\/p>\n L’activit\u00e9 s’adresse aux formations militaires, aux organismes d’application de la loi et aux organismes d’autonomie locale, en particulier ceux situ\u00e9s pr\u00e8s de la fronti\u00e8re orientale de l’Ukraine, a indiqu\u00e9 l’agence.<\/p>\n Les attaques impliquent la distribution d’e-mails de phishing contenant une feuille de calcul Microsoft Excel (XLSM) macro-compatible, qui, une fois ouverte, installe le d\u00e9ploiement de deux pi\u00e8ces malveillantes, un script PowerShell tir\u00e9 de la PSSW100AVB<\/a> (“Scripts PowerShell avec contournement 100% AV”) R\u00e9f\u00e9rentiel GitHub qui ouvre un shell invers\u00e9, et un voleur pr\u00e9c\u00e9demment sans papiers doubl\u00e9 sur GiftedCrook.<\/p>\n “Les noms de fichiers et les lignes d’objet des e-mails font r\u00e9f\u00e9rence aux probl\u00e8mes pertinents et sensibles tels que la d\u00e9minage, les amendes administratives, la production d’UAV et la compensation pour les biens d\u00e9truits”, a d\u00e9clar\u00e9 CERT-UA.<\/p>\n “Ces feuilles de calcul contiennent du code malveillant qui, lors de l’ouverture du document et de l’activation des macros, se transforme automatiquement en logiciels malveillants et s’ex\u00e9cute \u00e0 l’insu de l’utilisateur.”<\/p>\n \u00c9crit en C \/ C ++, GiftedCrook facilite le vol de donn\u00e9es sensibles \u00e0 partir de navigateurs Web comme Google Chrome, Microsoft Edge et Mozilla Firefox, tels que les cookies, l’historique de la navigation et les donn\u00e9es d’authentification.<\/p>\n Les e-mails sont envoy\u00e9s \u00e0 partir de comptes compromis, souvent via l’interface Web des clients de messagerie, pour pr\u00eater aux messages un placage de l\u00e9gitimit\u00e9 et inciter les victimes potentielles \u00e0 ouvrir les documents. CERT-UA a attribu\u00e9 l’activit\u00e9 \u00e0 un cluster de menaces UAC-0226, bien qu’il n’ait pas \u00e9t\u00e9 li\u00e9 \u00e0 un pays sp\u00e9cifique.<\/p>\n Le d\u00e9veloppement est un acteur pr\u00e9sum\u00e9 d’espionnage de la Russie-Nexus surnomm\u00e9 UNC5837 a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne de phishing ciblant le gouvernement europ\u00e9en et les organisations militaires en octobre 2024.<\/p>\n “La campagne a utilis\u00e9 des pi\u00e8ces jointes de fichiers .RDP pour \u00e9tablir des connexions de protocole de bureau distant (RDP) des machines des victimes”, le Google Threat Intelligence Group (GTIG) dit<\/a>.<\/p>\n “Contrairement aux attaques typiques du RDP, ax\u00e9es sur les s\u00e9ances interactives, cette campagne a exploit\u00e9 de mani\u00e8re cr\u00e9ative la redirection des ressources (cartographie des syst\u00e8mes de fichiers victimes aux serveurs d’attaquant) et des remoteapps (pr\u00e9sentant des applications contr\u00f4l\u00e9es par l’attaquant aux victimes).”<\/p>\n Il convient de noter que la campagne RDP a \u00e9t\u00e9 pr\u00e9c\u00e9demment document\u00e9e par CERT-UA, Amazon Web Services et Microsoft en octobre 2024 et par la suite par Trend Micro en d\u00e9cembre. CERT-UA suit l’activit\u00e9 sous le nom de l’UAC-0215, tandis que les autres l’ont attribu\u00e9 au groupe de piratage parrain\u00e9 par l’\u00c9tat russe apt29.<\/p>\n L’attaque est \u00e9galement remarquable pour l’utilisation probable d’un outil open source appel\u00e9 PYRDP pour automatiser les activit\u00e9s malveillantes telles que l’exfiltration des fichiers et la capture du presse-papiers, y compris des donn\u00e9es potentiellement sensibles comme les mots de passe.<\/p>\n “La campagne a probablement permis aux attaquants de lire les lecteurs des victimes, de voler des fichiers, de capturer les donn\u00e9es du presse-papiers (y compris des mots de passe) et d’obtenir des variables d’environnement des victimes”, a d\u00e9clar\u00e9 le GTIG dans un rapport de lundi. “L’objectif principal de l’UNC5837 semble \u00eatre l’espionnage et le vol de fichiers.”<\/p>\n Ces derniers mois, des campagnes de phishing ont \u00e9galement \u00e9t\u00e9 observ\u00e9es en utilisant faux captchas<\/a> et CloudFlare Tursitile pour distribuer L\u00e9gion Loader (aka Satacom), qui sert ensuite de conduit pour supprimer une extension de navigateur malveillante bas\u00e9e sur le chrome nomm\u00e9 “Enregistrer sur Google Drive”.<\/p>\n “La charge utile initiale est r\u00e9partie via une infection \u00e0 t\u00e9l\u00e9chargement au volant qui commence lorsqu’une victime recherche un document sp\u00e9cifique et est attir\u00e9 sur un site Web malveillant”, a d\u00e9clar\u00e9 Netskope Threat Labs dit<\/a>. “Le document t\u00e9l\u00e9charg\u00e9 contient un captcha qui, une fois cliqu\u00e9 par la victime, le redirigera vers un CloudFlare Turnique Captcha, puis finalement vers une page de notification.”<\/p>\n La page invite les utilisateurs \u00e0 autoriser les notifications sur le site, apr\u00e8s quoi les victimes sont redirig\u00e9es vers un deuxi\u00e8me CAPTCHA de tourniquet Cloudflare qui, une fois termin\u00e9, est \u00e0 nouveau redirig\u00e9 vers une page qui fournit des instructions de style ClickFix pour t\u00e9l\u00e9charger le document qu’ils recherchent.<\/p>\n En r\u00e9alit\u00e9, l’attaque ouvre la voie \u00e0 la livraison et \u00e0 l’ex\u00e9cution d’un fichier d’installation MSI qui est responsable du lancement de L\u00e9gion Loader, qui, \u00e0 son tour, effectue une s\u00e9rie d’\u00e9tapes pour t\u00e9l\u00e9charger et ex\u00e9cuter des scripts PowerShell int\u00e9rimaires, ajoutant finalement l’extension du navigateur Rogue au navigateur.<\/p>\n Le script PowerShell met \u00e9galement fin \u00e0 la session du navigateur pour que l’extension soit activ\u00e9e, s’active sur le mode d\u00e9veloppeur dans les param\u00e8tres et relance le navigateur. L’objectif final est de capturer un large \u00e9ventail d’informations sensibles et de l’exfiltrer aux attaquants.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/LUAC-0226-deploie-le-voleur-GiftedCrook-via-des-fichiers-Excel-malveillants.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n