Des acteurs malveillants ont \u00e9t\u00e9 observ\u00e9s abusant de logiciels de simulation d’adversaires l\u00e9gitimes dans leurs attaques dans le but de rester sous le radar et d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n
Palo Alto R\u00e9seaux Unit\u00e9 42 a dit<\/a> un \u00e9chantillon de logiciel malveillant<\/a> t\u00e9l\u00e9charg\u00e9 dans la base de donn\u00e9es VirusTotal le 19 mai 2022, contenait une charge utile associ\u00e9e \u00e0 Brute Ratel C4, une bo\u00eete \u00e0 outils sophistiqu\u00e9e relativement nouvelle “con\u00e7ue pour \u00e9viter la d\u00e9tection par les capacit\u00e9s de d\u00e9tection et de r\u00e9ponse des terminaux (EDR) et antivirus (AV)”.<\/p>\n R\u00e9dig\u00e9 par un chercheur indien en s\u00e9curit\u00e9 nomm\u00e9 Chetan Nayak<\/a>Brute Ratel (BRc4) est analogue \u00e0 Cobalt Strike et est d\u00e9crit<\/a> en tant que “centre de commandement et de contr\u00f4le personnalis\u00e9 pour la simulation de l’\u00e9quipe rouge et de l’adversaire”.<\/p>\n Le logiciel commercial a \u00e9t\u00e9 publi\u00e9 pour la premi\u00e8re fois fin 2020 et a depuis acquis plus de 480 licences aupr\u00e8s de 350 clients. Chaque licence est offerte \u00e0 2 500 $ par utilisateur pendant un an, apr\u00e8s quoi elle peut \u00eatre renouvel\u00e9e pour la m\u00eame dur\u00e9e au prix de 2 250 $.<\/p>\n BRc4 est \u00e9quip\u00e9 d’une grande vari\u00e9t\u00e9 de fonctionnalit\u00e9s, telles que l’injection de processus, l’automatisation des TTP adverses, la capture d’\u00e9crans, le t\u00e9l\u00e9chargement de fichiers, la prise en charge de plusieurs canaux de commande et de contr\u00f4le et la possibilit\u00e9 de dissimuler les artefacts de m\u00e9moire aux moteurs anti-malware. , entre autres.<\/p>\n L’artefact, qui a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 depuis le Sri Lanka, se fait passer pour le curriculum vitae d’une personne nomm\u00e9e Roshan Bandara (“Roshan_CV.iso”), mais en r\u00e9alit\u00e9, il s’agit d’un fichier image de disque optique qui, lorsqu’il est double-cliqu\u00e9, le monte comme un lecteur Windows. contenant un document Word apparemment inoffensif qui, lors du lancement, installe BRc4 sur la machine de l’utilisateur et \u00e9tablit des communications avec un serveur distant.<\/p>\n La livraison de fichiers ISO empaquet\u00e9s est g\u00e9n\u00e9ralement envoy\u00e9e via des campagnes d’e-mails de harponnage, bien qu’il ne soit pas clair si la m\u00eame m\u00e9thode a \u00e9t\u00e9 utilis\u00e9e pour livrer la charge utile \u00e0 l’environnement cible.<\/p>\n “La composition du fichier ISO, Roshan_CV.ISO, ressemble \u00e9troitement \u00e0 celle d’autres artisanats APT d’\u00c9tats-nations”, ont d\u00e9clar\u00e9 les chercheurs de l’unit\u00e9 42 Mike Harbison et Peter Renals, appelant \u00e0 des similitudes avec celle d’un fichier ISO emball\u00e9 pr\u00e9c\u00e9demment attribu\u00e9 \u00e0 la nation russe. l’acteur d’\u00c9tat APT29 (alias Cozy Bear, The Dukes ou Iron Hemlock).<\/p>\n APT29 est devenu c\u00e9l\u00e8bre l’ann\u00e9e derni\u00e8re apr\u00e8s que le groupe parrain\u00e9 par l’\u00c9tat a \u00e9t\u00e9 accus\u00e9 d’avoir orchestr\u00e9 l’attaque \u00e0 grande \u00e9chelle de la cha\u00eene d’approvisionnement SolarWinds.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a not\u00e9 qu’elle avait \u00e9galement rep\u00e9r\u00e9 un deuxi\u00e8me \u00e9chantillon<\/a> qui a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 sur VirusTotal depuis l’Ukraine un jour plus tard et qui pr\u00e9sentait des chevauchements de code avec celui d’un module responsable du chargement de BRc4 en m\u00e9moire. L’enqu\u00eate a depuis mis au jour sept autres \u00e9chantillons de BRc4 datant de f\u00e9vrier 2021.<\/p>\n Ce n’est pas tout. En examinant le serveur C2 qui a \u00e9t\u00e9 utilis\u00e9 comme canal secret, un certain nombre de victimes potentielles ont \u00e9t\u00e9 identifi\u00e9es. Cela comprend une organisation argentine, un fournisseur de t\u00e9l\u00e9vision IP fournissant du contenu nord et sud-am\u00e9ricain et un important fabricant de textile au Mexique.<\/p>\n “L’\u00e9mergence d’une nouvelle capacit\u00e9 de test d’intrusion et d’\u00e9mulation d’adversaires est importante”, ont d\u00e9clar\u00e9 les chercheurs. “Encore plus alarmante est l’efficacit\u00e9 du BRc4 \u00e0 vaincre les capacit\u00e9s d\u00e9fensives modernes de d\u00e9tection EDR et AV.”<\/p>\n Peu de temps apr\u00e8s que les conclusions soient devenues publiques, Nayak tweet\u00e9<\/a> que “des mesures appropri\u00e9es ont \u00e9t\u00e9 prises contre les licences trouv\u00e9es qui ont \u00e9t\u00e9 vendues sur le march\u00e9 noir”, ajoutant que BRc4 v1.1 “changera tous les aspects d’IoC trouv\u00e9s dans les versions pr\u00e9c\u00e9dentes”.<\/p>\n <\/p>\n<\/div>\n![\"Outil](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657124593_133_Les-pirates-informatiques-abusent-de-loutil-de-penetration-de-lequipe.jpg\" "\\"Outil")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n