Le cluster de menaces baptis\u00e9 UNC2165, qui partage de nombreux chevauchements avec un groupe de cybercriminalit\u00e9 bas\u00e9 en Russie connu sous le nom d’Evil Corp, a \u00e9t\u00e9 li\u00e9 \u00e0 plusieurs intrusions de ran\u00e7ongiciels LockBit dans le but de contourner les sanctions impos\u00e9es par le Tr\u00e9sor am\u00e9ricain en d\u00e9cembre 2019.<\/p>\n
“Ces acteurs ont d\u00e9laiss\u00e9 l’utilisation de variantes exclusives de ransomware pour LockBit – un ransomware en tant que service (RaaS) bien connu – dans leurs op\u00e9rations, susceptibles d’entraver les efforts d’attribution afin d’\u00e9chapper aux sanctions”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces Mandiant. c’est not\u00e9<\/a> dans une analyse la semaine derni\u00e8re.<\/p>\n Actif depuis 2019, UNC2165 est connu pour obtenir un acc\u00e8s initial aux r\u00e9seaux des victimes via des informations d’identification vol\u00e9es et un logiciel malveillant de t\u00e9l\u00e9chargement bas\u00e9 sur JavaScript appel\u00e9 FakeUpdates (alias SocGholish), en l’utilisant pour d\u00e9ployer pr\u00e9c\u00e9demment le ran\u00e7ongiciel Hades.<\/p>\n Hades est le travail d’un groupe de piratage financi\u00e8rement motiv\u00e9 nomm\u00e9 Evil Corp, qui est \u00e9galement appel\u00e9 par les surnoms Gold Drake et Indrik Spider et a \u00e9t\u00e9 attribu\u00e9 au tristement c\u00e9l\u00e8bre cheval de Troie Dridex (alias Bugat) ainsi qu’\u00e0 d’autres souches de ran\u00e7ongiciels telles que BitPaymer, DoppelPaymer , et WastedLocker au cours des cinq derni\u00e8res ann\u00e9es.<\/p>\n Le pivot de l’UNC2165 d’Had\u00e8s \u00e0 LockBit en tant que tactique d’\u00e9vitement des sanctions se serait produit au d\u00e9but de 2021.<\/p>\n Fait int\u00e9ressant, FakeUpdates a \u00e9galement, dans le pass\u00e9, servi de vecteur d’infection initial pour la distribution de Dridex qui a ensuite \u00e9t\u00e9 utilis\u00e9 comme conduit pour d\u00e9poser BitPaymer et DoppelPaymer sur des syst\u00e8mes compromis.<\/p>\n Mandiant a d\u00e9clar\u00e9 avoir not\u00e9 d’autres similitudes entre UNC2165 et une activit\u00e9 de cyberespionnage li\u00e9e \u00e0 Evil Corp suivie par la soci\u00e9t\u00e9 suisse de cybers\u00e9curit\u00e9 PRODAFT sous le nom Poisson d’argent<\/a> destin\u00e9 aux entit\u00e9s gouvernementales et aux entreprises du Fortune 500 dans l’UE et aux \u00c9tats-Unis<\/p>\n Une compromission initiale r\u00e9ussie est suivie d’une s\u00e9rie d’actions dans le cadre du cycle de vie de l’attaque, y compris l’\u00e9l\u00e9vation des privil\u00e8ges, la reconnaissance interne, le mouvement lat\u00e9ral et le maintien d’un acc\u00e8s \u00e0 distance \u00e0 long terme, avant de livrer les charges utiles du ransomware.<\/p>\n Les sanctions \u00e9tant utilis\u00e9es comme moyen de freiner les attaques de ransomwares, emp\u00eachant \u00e0 leur tour les victimes de n\u00e9gocier avec les acteurs de la menace, l’ajout d’un groupe de ransomwares \u00e0 une liste de sanctions – sans nommer les individus derri\u00e8re lui – a \u00e9galement \u00e9t\u00e9 compliqu\u00e9 par le fait que les syndicats de cybercriminels souvent ont tendance \u00e0 fermer, \u00e0 se regrouper et \u00e0 se rebaptiser sous un nom diff\u00e9rent pour contourner les forces de l’ordre.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n