Un acteur mena\u00e7ant op\u00e9rant avec des int\u00e9r\u00eats align\u00e9s sur la Cor\u00e9e du Nord a d\u00e9ploy\u00e9 une extension malveillante sur les navigateurs Web bas\u00e9s sur Chromium, capable de voler le contenu des e-mails de Gmail et AOL.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Volexity a attribu\u00e9 le malware \u00e0 un cluster d’activit\u00e9s qu’elle appelle Langue de vip\u00e8re<\/strong>dont on dit qu’il partage des chevauchements avec un collectif contradictoire<\/a> publiquement d\u00e9sign\u00e9 sous le nom de Kimsuky.<\/p>\n SharpTongue a l’habitude de distinguer les personnes travaillant pour des organisations aux \u00c9tats-Unis, en Europe et en Cor\u00e9e du Sud qui “travaillent sur des sujets impliquant la Cor\u00e9e du Nord, les questions nucl\u00e9aires, les syst\u00e8mes d’armes et d’autres questions d’int\u00e9r\u00eat strat\u00e9gique pour la Cor\u00e9e du Nord”, les chercheurs Paul Rascagneres et Thomas Lancastre a dit<\/a>.<\/p>\n Kimsuky<\/a>L’utilisation d’extensions escrocs dans les attaques n’est pas nouvelle. En 2018, l’acteur voyait un plugin Chrome dans le cadre d’une campagne appel\u00e9e Crayon vol\u00e9<\/a> pour infecter les victimes et voler les cookies et les mots de passe du navigateur.<\/p>\n Mais le dernier effort d’espionnage est diff\u00e9rent en ce sens qu’il utilise l’extension, nomm\u00e9e Sharpext, pour piller les donn\u00e9es de messagerie. “Le logiciel malveillant inspecte et exfiltre directement les donn\u00e9es du compte de messagerie Web d’une victime lorsqu’elle le parcourt”, ont not\u00e9 les chercheurs.<\/p>\n Les navigateurs cibl\u00e9s incluent les navigateurs Google Chrome, Microsoft Edge et Naver’s Whale, avec le logiciel malveillant de vol de courrier con\u00e7u pour collecter des informations \u00e0 partir des sessions Gmail et AOL.<\/p>\n L’installation du module compl\u00e9mentaire s’effectue en rempla\u00e7ant le navigateur Pr\u00e9f\u00e9rences et pr\u00e9f\u00e9rences s\u00e9curis\u00e9es<\/a> fichiers avec ceux re\u00e7us d’un serveur distant suite \u00e0 une violation r\u00e9ussie d’un syst\u00e8me Windows cible.<\/p>\n Cette \u00e9tape est r\u00e9ussie en activant le Panneau DevTools<\/a> dans l’onglet actif pour voler les e-mails et les pi\u00e8ces jointes de la bo\u00eete aux lettres d’un utilisateur, tout en prenant simultan\u00e9ment des mesures pour masquer tout messages d’avertissement<\/a> sur l’ex\u00e9cution des extensions en mode d\u00e9veloppeur.<\/p>\n “C’est la premi\u00e8re fois que Volexity observe des extensions de navigateur malveillantes utilis\u00e9es dans le cadre de la phase de post-exploitation d’un compromis”, ont d\u00e9clar\u00e9 les chercheurs. “En volant des donn\u00e9es de messagerie dans le contexte d’une session d\u00e9j\u00e0 connect\u00e9e d’un utilisateur, l’attaque est cach\u00e9e au fournisseur de messagerie, ce qui rend la d\u00e9tection tr\u00e8s difficile.”<\/p>\n Les d\u00e9couvertes arrivent plusieurs mois apr\u00e8s que l’acteur Kimsuky a \u00e9t\u00e9 connect\u00e9 \u00e0 des intrusions contre des institutions politiques situ\u00e9es en Russie et en Cor\u00e9e du Sud pour livrer une version mise \u00e0 jour d’un cheval de Troie d’acc\u00e8s \u00e0 distance connu sous le nom de Konni.<\/p>\n La semaine derni\u00e8re, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Securonix a d\u00e9voil\u00e9 une campagne d’attaque en cours exploitant des cibles de grande valeur, notamment la R\u00e9publique tch\u00e8que, la Pologne et d’autres pays, dans le cadre d’une campagne baptis\u00e9e STIFF#BIZON pour distribuer le malware Konni.<\/p>\n Alors que les tactiques et les outils utilis\u00e9s dans les intrusions indiquent un groupe de piratage nord-cor\u00e9en appel\u00e9 APT37, les preuves recueillies concernant l’infrastructure d’attaque sugg\u00e8rent l’implication de l’acteur APT28 align\u00e9 sur la Russie (alias Fancy Bear ou Sofacy).<\/p>\n “En fin de compte, ce qui rend ce cas particulier int\u00e9ressant, c’est l’utilisation du malware Konni en conjonction avec des similitudes commerciales avec APT28”, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>ajoutant qu’il pourrait s’agir d’un groupe se faisant passer pour un autre afin de confondre attribution et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Extension](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1659164014_65_Des-pirates-nord-coreens-utilisent-une-extension-de-navigateur-malveillante-pour.jpg\" "\\"Extension")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n