Un acteur pr\u00e9sum\u00e9 de la menace align\u00e9 sur l’\u00c9tat a \u00e9t\u00e9 attribu\u00e9 \u00e0 une nouvelle s\u00e9rie d’attaques exploitant la vuln\u00e9rabilit\u00e9 Microsoft Office “Follina” pour cibler des entit\u00e9s gouvernementales en Europe et aux \u00c9tats-Unis<\/p>\n
La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint a d\u00e9clar\u00e9 avoir bloqu\u00e9 les tentatives d’exploitation de la faille d’ex\u00e9cution de code \u00e0 distance, qui fait l’objet d’un suivi CVE-2022-30190 (score CVSS\u00a0: 7,8). Pas moins de 1 000 messages de phishing contenant un document leurre ont \u00e9t\u00e9 envoy\u00e9s aux cibles.<\/p>\n
“Cette campagne s’est d\u00e9guis\u00e9e en augmentation de salaire et a utilis\u00e9 un RTF avec la charge utile d’exploit t\u00e9l\u00e9charg\u00e9e \u00e0 partir du 45.76.53[.]253”, la soci\u00e9t\u00e9 a dit<\/a> dans une s\u00e9rie de tweets.<\/p>\n La charge utile, qui se manifeste sous la forme d’un script PowerShell, est encod\u00e9e en Base64 et fonctionne comme un t\u00e9l\u00e9chargeur pour r\u00e9cup\u00e9rer un deuxi\u00e8me script PowerShell \u00e0 partir d’un serveur distant nomm\u00e9 “seller-notification[.]Direct.”<\/p>\n “Ce script v\u00e9rifie la virtualisation, vole les informations des navigateurs locaux, des clients de messagerie et des services de fichiers, proc\u00e8de \u00e0 la reconnaissance de la machine, puis le comprime pour exfil[tration] au 45.77.156[.]179”, a ajout\u00e9 la soci\u00e9t\u00e9.<\/p>\n La campagne de phishing n’a pas \u00e9t\u00e9 li\u00e9e \u00e0 un groupe pr\u00e9c\u00e9demment connu, mais a d\u00e9clar\u00e9 qu’elle avait \u00e9t\u00e9 mont\u00e9e par un acteur de l’\u00c9tat-nation en fonction de la sp\u00e9cificit\u00e9 du ciblage et des capacit\u00e9s de reconnaissance \u00e9tendues de la charge utile PowerShell.<\/p>\n Le d\u00e9veloppement fait suite \u00e0 des tentatives d’exploitation actives par un acteur mena\u00e7ant chinois suivi sous le nom de TA413 pour fournir des archives ZIP militaris\u00e9es avec des documents Microsoft Word truqu\u00e9s par des logiciels malveillants.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Le-package-PyPI-populaire-ctx-et-la-bibliotheque-PHP-phpass.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1654485561_360_Des-pirates-informatiques-soutenus-par-lEtat-exploitent-le-bogue-Follina.jpg\")
<\/div>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n