Un acteur mena\u00e7ant travaillant \u00e0 la poursuite des objectifs iraniens aurait \u00e9t\u00e9 \u00e0 l’origine d’une s\u00e9rie de cyberattaques perturbatrices contre les services gouvernementaux albanais \u00e0 la mi-juillet 2022.<\/p>\n
Cabinet de cybers\u00e9curit\u00e9 Mandiant a dit<\/a> l’activit\u00e9 malveillante contre un \u00c9tat de l’OTAN repr\u00e9sentait une “expansion g\u00e9ographique des cyber-op\u00e9rations perturbatrices iraniennes”.<\/p>\n La Les attentats du 17 juillet<\/a>selon l’Agence nationale albanaise de la soci\u00e9t\u00e9 de l’information, a forc\u00e9 le gouvernement \u00e0 “fermer temporairement l’acc\u00e8s aux services publics en ligne et aux autres sites Web du gouvernement” en raison d’une “attaque cybercriminelle synchronis\u00e9e et sophistiqu\u00e9e provenant de l’ext\u00e9rieur de l’Albanie”.<\/p>\n L’op\u00e9ration perturbatrice \u00e0 motivation politique, selon Mandiant, impliquait le d\u00e9ploiement d’une nouvelle famille de ran\u00e7ongiciels appel\u00e9e ROADSWEEP qui comprenait une note de ran\u00e7on avec le texte\u00a0: “Pourquoi nos imp\u00f4ts devraient-ils \u00eatre d\u00e9pens\u00e9s au profit des terroristes de DURRES\u00a0?”<\/p>\n Un front nomm\u00e9 HomeLand Justice a depuis revendiqu\u00e9 la cyberoffensive, le groupe affirmant \u00e9galement avoir utilis\u00e9 un logiciel malveillant d’essuie-glace dans les attaques. Bien que la nature exacte de l’essuie-glace ne soit pas encore claire, Mandiant a d\u00e9clar\u00e9 qu’un utilisateur albanais avait soumis un \u00e9chantillon pour ce qu’on appelle ZeroCleare le 19 juillet, co\u00efncidant avec les attaques.<\/p>\n ZeroClear, d’abord document\u00e9<\/a> par IBM en d\u00e9cembre 2019 dans le cadre d’une campagne ciblant les secteurs de l’industrie et de l’\u00e9nergie au Moyen-Orient, est con\u00e7u pour effacer le master boot record (MBR) et les partitions de disque sur les machines Windows. On pense qu’il s’agit d’un effort de collaboration entre diff\u00e9rents acteurs de l’\u00c9tat-nation iranien, y compris Plate-forme p\u00e9troli\u00e8re<\/a> (alias APT34, ITG13 ou Helix Kitten).<\/p>\n Une porte d\u00e9rob\u00e9e auparavant inconnue appel\u00e9e CHIMNEYSWEEP a \u00e9galement \u00e9t\u00e9 d\u00e9ploy\u00e9e dans les attaques albanaises, capable de prendre des captures d’\u00e9cran, de r\u00e9pertorier et de collecter des fichiers, de cr\u00e9er un shell invers\u00e9 et de prendre en charge la fonctionnalit\u00e9 d’enregistrement de frappe.<\/p>\n L’implant, en plus de partager de nombreux chevauchements de code avec ROADSWEEP, est livr\u00e9 au syst\u00e8me via une archive auto-extractible aux c\u00f4t\u00e9s de documents Microsoft Word leurres contenant des images de Massoud Radjavi<\/a>l’ancien chef de l’Organisation des Moudjahidine du peuple d’Iran (MEK).<\/p>\n Les premi\u00e8res it\u00e9rations de CHIMNEYSWEEP remontent \u00e0 2012 et il semble que le logiciel malveillant ait pu \u00eatre utilis\u00e9 dans des attaques visant le farsi et les arabophones.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a \u00e9t\u00e9 acquise par Google plus t\u00f4t cette ann\u00e9e, a d\u00e9clar\u00e9 qu’elle n’avait pas suffisamment de preuves reliant les intrusions \u00e0 un collectif contradictoire nomm\u00e9, mais a not\u00e9 avec une confiance mod\u00e9r\u00e9e qu’un ou plusieurs acteurs malveillants op\u00e9rant \u00e0 l’appui des objectifs de l’Iran sont impliqu\u00e9s.<\/p>\n Les liens avec l’Iran d\u00e9coulent du fait que les attaques ont eu lieu moins d’une semaine avant la conf\u00e9rence du Sommet mondial de l’Iran libre les 23 et 24 juillet pr\u00e8s de la ville portuaire de Durres par des entit\u00e9s oppos\u00e9es au gouvernement iranien, en particulier les membres du MEK. .<\/p>\n “L’utilisation de ran\u00e7ongiciels pour mener une op\u00e9ration perturbatrice \u00e0 motivation politique contre les sites Web du gouvernement et les services aux citoyens d’un \u00c9tat membre de l’OTAN la m\u00eame semaine qu’une conf\u00e9rence des groupes d’opposition iraniens devait avoir lieu serait une op\u00e9ration particuli\u00e8rement effront\u00e9e par la menace du lien avec l’Iran. acteurs \u00bb, expliquent les chercheurs.<\/p>\n Les d\u00e9couvertes surviennent \u00e9galement deux mois apr\u00e8s que le groupe iranien de menace persistante avanc\u00e9e (APT) suivi sous le nom de Charming Kitten (alias Phosphorus) a \u00e9t\u00e9 li\u00e9<\/a> \u00e0 une attaque dirig\u00e9e contre une entreprise de construction anonyme dans le sud des \u00c9tats-Unis<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Hackers](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659717566_820_Des-pirates-informatiques-iraniens-sont-probablement-a-lorigine-de-cyberattaques.jpg\" "\\"Hackers")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n