Les entit\u00e9s militaires situ\u00e9es au Bangladesh continuent d’\u00eatre la cible de cyberattaques soutenues par une menace persistante avanc\u00e9e identifi\u00e9e comme Bitter.<\/p>\n
“Par le biais de fichiers de documents malveillants et d’\u00e9tapes interm\u00e9diaires de logiciels malveillants, les acteurs de la menace m\u00e8nent l’espionnage en d\u00e9ployant des chevaux de Troie d’acc\u00e8s \u00e0 distance”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SECUINFRA. a dit<\/a> dans un nouvel article publi\u00e9 le 5 juillet.<\/p>\n Les conclusions de la soci\u00e9t\u00e9 bas\u00e9e \u00e0 Berlin s’appuient sur un rapport pr\u00e9c\u00e9dent de Cisco Talos en mai, qui r\u00e9v\u00e9lait l’expansion du groupe dans le ciblage des organisations gouvernementales bangladaises avec une porte d\u00e9rob\u00e9e appel\u00e9e ZxxZ<\/a>.<\/p>\n Bitter, \u00e9galement suivi sous les noms de code APT-C-08 et T-APT-17, serait actif depuis au moins fin 2013<\/a> et a l’habitude de cibler la Chine, le Pakistan et l’Arabie saoudite \u00e0 l’aide de diff\u00e9rents outils tels que BitterRAT et ArtraDownloader.<\/p>\n La derni\u00e8re cha\u00eene d’attaque d\u00e9taill\u00e9e par SECUINFRA aurait \u00e9t\u00e9 men\u00e9e \u00e0 la mi-mai 2022, \u00e0 l’origine d’un document Excel militaris\u00e9 probablement distribu\u00e9 au moyen d’un e-mail de harponnage qui, une fois ouvert, exploite l’exploit Microsoft Equation Editor (CVE-2018-0798<\/a>) pour supprimer le binaire de l’\u00e9tape suivante d’un serveur distant.<\/p>\n ZxxZ (ou MuuyDownloader du Qi-Anxin Threat Intelligence Center), comme on appelle la charge utile t\u00e9l\u00e9charg\u00e9e, est impl\u00e9ment\u00e9 dans Visual C++ et fonctionne comme un implant de deuxi\u00e8me \u00e9tape qui permet \u00e0 l’adversaire de d\u00e9ployer des logiciels malveillants suppl\u00e9mentaires.<\/p>\n Le changement le plus notable dans le logiciel malveillant est qu’il a abandonn\u00e9 l’utilisation de “ZxxZ” comme s\u00e9parateur utilis\u00e9 lors du renvoi d’informations au serveur de commande et de contr\u00f4le (C2) en faveur d’un trait de soulignement, ce qui sugg\u00e8re que le groupe apporte activement des modifications \u00e0 son code source pour rester sous le radar.<\/p>\n L’auteur de la menace utilise \u00e9galement dans ses campagnes une porte d\u00e9rob\u00e9e appel\u00e9e Almond RAT, un RAT bas\u00e9 sur .NET qui est apparu pour la premi\u00e8re fois<\/a> en mai 2022 et offre des fonctionnalit\u00e9s de collecte de donn\u00e9es de base et la possibilit\u00e9 d’ex\u00e9cuter des commandes arbitraires. De plus, l’implant utilise des techniques d’obscurcissement et de cryptage de cha\u00eene pour \u00e9chapper \u00e0 la d\u00e9tection et entraver l’analyse.<\/p>\n “Les principaux objectifs des Almond RAT semblent \u00eatre la d\u00e9couverte de syst\u00e8mes de fichiers, l’exfiltration de donn\u00e9es et un moyen de charger plus d’outils\/d’\u00e9tablir la persistance”, ont d\u00e9clar\u00e9 les chercheurs. “La conception des outils semble \u00eatre con\u00e7ue de mani\u00e8re \u00e0 pouvoir \u00eatre rapidement modifi\u00e9e et adapt\u00e9e au sc\u00e9nario d’attaque actuel.”<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgugRYg4qB1B0qEEVepYJ3tAKj5IxgHd_ns0gUn19wVfnyzMYmWlFIutPxNHaLiYKKI3nQo6gsTH9QUkGKYE_7duhoBGSzGTJVWK8zLFI-daoX9gqg8V_TSbhl7tMlQDWzhvXbQLkwfDPIR52x6WoCFpN_sFFpEiz86xj_5waC3BIN2JGfDQzoLr1Ql\/s728-e100\/falcon.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657106234_192_Bitter-APT-Hackers-continue-de-cibler-les-entites-militaires-du.jpg\")
<\/div>\n