L’acteur de menace connue sous le nom Loup-garou en papier<\/strong> a \u00e9t\u00e9 observ\u00e9 exclusivement ciblant les entit\u00e9s russes avec un nouvel implant appel\u00e9 Powermodul<\/b>.<\/p>\n L’activit\u00e9, qui a eu lieu entre juillet et d\u00e9cembre 2024, a distingu\u00e9 les organisations des m\u00e9dias de masse, des t\u00e9l\u00e9communications, de la construction, des entit\u00e9s gouvernementales et des secteurs de l’\u00e9nergie, Kaspersky dit<\/a> Dans un nouveau rapport publi\u00e9 jeudi.<\/p>\n Paper Werewolf, \u00e9galement connu sous le nom de Goffee, aurait men\u00e9 au moins sept campagnes depuis 2022, selon Bi.zone, les attaques visant principalement le gouvernement, l’\u00e9nergie, les finances, les m\u00e9dias et d’autres organisations.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par l’acteur de menace ont \u00e9galement \u00e9t\u00e9 observ\u00e9es en incorporant un composant perturbateur, dans lequel les intrusions vont au-del\u00e0 de la distribution de logiciels malveillants \u00e0 des fins d’espionnage pour modifier \u00e9galement les mots de passe appartenant aux comptes des employ\u00e9s.<\/p>\n Les attaques elles-m\u00eames sont lanc\u00e9es via des e-mails de phishing qui contiennent un document de leurre macro, qui, lors de l’ouverture et de l’activation des macros, ouvre la voie au d\u00e9ploiement d’un piste d’acc\u00e8s \u00e0 distance bas\u00e9 \u00e0 PowerShell connu sous le nom de PowerRat.<\/p>\n Le malware est con\u00e7u pour offrir une charge utile \u00e0 la prochaine \u00e9tape, souvent une version personnalis\u00e9e de l’agent du cadre mythique appel\u00e9 PowerTaskel<\/a> et Qwakmyagent<\/a>. Un autre outil dans l’arsenal de l’acteur de menace est un module IIS malveillant appel\u00e9 Owowa, qui est utilis\u00e9 pour r\u00e9cup\u00e9rer les informations d’identification Microsoft Outlook saisies par les utilisateurs du client Web.<\/p>\n Le dernier ensemble d’attaques document\u00e9 par Kaspersky commence par une pi\u00e8ce jointe de l’archive RAR malveillante contenant un ex\u00e9cutable qui se d\u00e9gage d’un PDF ou d’un document Word en utilisant une double extension (c’est-\u00e0-dire, * .pdf.exe ou * .doc.exe). Lorsque l’ex\u00e9cutable est lanc\u00e9, le fichier de leurre est t\u00e9l\u00e9charg\u00e9 \u00e0 partir d’un serveur distant et affich\u00e9 \u00e0 l’utilisateur, tandis que l’infection passe \u00e0 l’\u00e9tape suivante en arri\u00e8re-plan.<\/p>\n “Le fichier lui-m\u00eame est un fichier syst\u00e8me Windows (Explorer.exe ou xpsrchvw.exe), avec une partie de son code corrig\u00e9 avec un shellcode malveillant”, a-t-il d\u00e9clar\u00e9. “Le shellcode est similaire \u00e0 ce que nous avons vu dans les attaques ant\u00e9rieures, mais contient en outre un agent mythique obscurci, qui commence imm\u00e9diatement \u00e0 communiquer avec le serveur de commande et de contr\u00f4le (C2).”<\/p>\n La s\u00e9quence d’attaque alternative est beaucoup plus \u00e9labor\u00e9e, en utilisant une archive RAR incorporant un document Microsoft Office avec une macro qui agit comme un compte-gouttes pour d\u00e9ployer et lancer PowerModul, un script PowerShell capable de recevoir et d’ex\u00e9cuter des scripts PowerShell suppl\u00e9mentaires \u00e0 partir du serveur C2.<\/p>\n La porte d\u00e9rob\u00e9e aurait \u00e9t\u00e9 utilis\u00e9e depuis le d\u00e9but de 2024, les acteurs de la menace l’utilisant initialement pour t\u00e9l\u00e9charger et ex\u00e9cuter PowerTaskel sur des h\u00f4tes compromis. Certaines des autres charges utiles abandonn\u00e9es par PowerModul sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n PowerTaskel est fonctionnellement similaire \u00e0 PowerModul en ce qu’il est \u00e9galement con\u00e7u pour ex\u00e9cuter les scripts PowerShell envoy\u00e9s par le serveur C2. Mais en outre, il peut envoyer des informations sur l’environnement cibl\u00e9 sous la forme d’un message “Checkin”, ainsi que d’ex\u00e9cuter d’autres commandes re\u00e7ues du serveur C2 comme t\u00e2ches. Il est \u00e9galement \u00e9quip\u00e9 pour augmenter les privil\u00e8ges \u00e0 l’aide de l’utilitaire Psexec.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Paper-Werewolf-deploie-limplant-PowerModul-dans-des-cyberattaques-ciblees-sur.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n