L’acteur de menace li\u00e9 \u00e0 la Russie connue sous le nom Gamaredon<\/strong> (AKA Shuckworm) a \u00e9t\u00e9 attribu\u00e9 \u00e0 une cyberattaque ciblant une mission militaire \u00e9trang\u00e8re bas\u00e9e en Ukraine dans le but de livrer une version mise \u00e0 jour d’un logiciel malveillant connu appel\u00e9 Gammasteel.<\/p>\n Le groupe a cibl\u00e9 la mission militaire d’un pays occidental, selon l’\u00e9quipe de chasseurs de menaces Symantec, avec les premiers signes de l’activit\u00e9 malveillante d\u00e9tect\u00e9e le 26 f\u00e9vrier 2025.<\/p>\n “Le vecteur d’infection initial utilis\u00e9 par les attaquants semble avoir \u00e9t\u00e9 un entra\u00eenement amovible infect\u00e9”, la division du renseignement des menaces appartenant \u00e0 Broadcom dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n L’attaque a commenc\u00e9 avec la cr\u00e9ation d’une valeur de registre Windows sous la touche userAssist, suivie par le lancement de “Mshta.exe” en utilisant “Explorer.exe” pour initier une cha\u00eene d’infection en plusieurs \u00e9tapes et lancer deux fichiers.<\/p>\n Le premier fichier, nomm\u00e9 “ntuser.dat.tmcontainer00000000000000000001.regtrans-ms”, est utilis\u00e9 pour \u00e9tablir des communications avec un serveur de commandement et de contr\u00f4le (C2) obtenu en atteignant des URL sp\u00e9cifiques associ\u00e9es \u00e0 des services l\u00e9gitimes tels que Teletype, Telegram et Telegraph, entre autres.<\/p>\n Le deuxi\u00e8me fichier en question, “ntuser.dat.tmcontainer000000000000000002.gtrans-ms”, est con\u00e7u pour infecter tous les disques amovibles et les lecteurs r\u00e9seau en cr\u00e9ant des fichiers de raccourci pour chaque dossier pour ex\u00e9cuter la commande \u00abMshta.exe\u00bb malveillante et le cacher.<\/p>\n Par la suite, le 1er mars 2025, le script a \u00e9t\u00e9 ex\u00e9cut\u00e9 pour contacter un serveur C2, des m\u00e9tadonn\u00e9es du syst\u00e8me exfiltrate et recevoir, en retour, une charge utile cod\u00e9e de base64, qui est ensuite utilis\u00e9e pour ex\u00e9cuter une commande PowerShell con\u00e7ue pour t\u00e9l\u00e9charger une nouvelle version obscurcie du m\u00eame script.<\/p>\n Le script, pour sa part, se connecte \u00e0 un serveur C2 \u00e0 code dur pour r\u00e9cup\u00e9rer deux autres scripts PowerShell, dont le premier est un utilitaire de reconnaissance capable de capturer des captures d’\u00e9cran, d’ex\u00e9cuter la commande systeminfo, d’obtenir des d\u00e9tails sur les logiciels de s\u00e9curit\u00e9 ex\u00e9cut\u00e9s sur l’h\u00f4te, d’\u00e9num\u00e9rer les fichiers et les dossiers dans le bureau et la liste des processus de course.<\/p>\n Le deuxi\u00e8me script PowerShell est une version am\u00e9lior\u00e9e de Gammasteel, un voleur d’informations connu qui est capable d’exfiltration de fichiers d’une victime bas\u00e9e sur une liste d’autoroute d’extension \u00e0 partir des dossiers de bureau et de documents.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Gamaredon-utilise-des-disques-amovibles-infectes-pour-briser-la-mission.jpg\")
<\/a><\/center><\/div>\n