Des acteurs parrain\u00e9s par l’\u00c9tat russe continuent de frapper des entit\u00e9s ukrainiennes avec des logiciels malveillants voleurs d’informations dans le cadre de ce qui est soup\u00e7onn\u00e9 d’\u00eatre une op\u00e9ration d’espionnage.<\/p>\n
Symantec, une division de Broadcom Software, attribu\u00e9<\/a> la campagne malveillante contre un acteur mena\u00e7ant a suivi Shuckworm, \u00e9galement connu sous le nom d’Actinium, Armageddon, Gamaredon, Primitive Bear et Trident Ursa. Les d\u00e9couvertes ont \u00e9t\u00e9 corrobor\u00e9<\/a> par l’\u00e9quipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA).<\/p>\n L’acteur mena\u00e7ant, actif depuis au moins 2013, est connu pour distinguer explicitement les entit\u00e9s publiques et priv\u00e9es en Ukraine. Les attaques se sont depuis intensifi\u00e9es \u00e0 la suite de l’invasion militaire russe fin 2022.<\/p>\n La derni\u00e8re s\u00e9rie d’attaques aurait commenc\u00e9 le 15 juillet 2022 et se poursuivrait aussi r\u00e9cemment que le 8 ao\u00fbt, les cha\u00eenes d’infection tirant parti des e-mails de phishing d\u00e9guis\u00e9s en newsletters et ordres de combat, conduisant finalement au d\u00e9ploiement d’un malware voleur PowerShell appel\u00e9 GammaLoad. .PS1_v2.<\/p>\n Deux portes d\u00e9rob\u00e9es nomm\u00e9es Giddome et Pterodo sont \u00e9galement livr\u00e9es aux machines compromises, qui sont toutes deux des outils de marque Shuckworm qui ont \u00e9t\u00e9 continuellement red\u00e9velopp\u00e9s par les attaquants dans le but de garder une longueur d’avance sur la d\u00e9tection.<\/p>\n En son coeur, Pt\u00e9rodo<\/a> est un programme malveillant de compte-gouttes Visual Basic Script (VBS) capable d’ex\u00e9cuter des scripts PowerShell, d’utiliser des t\u00e2ches planifi\u00e9es (shtasks.exe) pour maintenir la persistance et de t\u00e9l\u00e9charger du code suppl\u00e9mentaire \u00e0 partir d’un serveur de commande et de contr\u00f4le.<\/p>\n L’implant Giddome, d’autre part, offre plusieurs fonctionnalit\u00e9s, notamment l’enregistrement audio, la capture de captures d’\u00e9cran, l’enregistrement des frappes au clavier, ainsi que la r\u00e9cup\u00e9ration et l’ex\u00e9cution d’ex\u00e9cutables arbitraires sur les h\u00f4tes infect\u00e9s.<\/p>\n Les intrusions, qui se produisent par le biais d’e-mails distribu\u00e9s \u00e0 partir de comptes compromis, exploitent davantage des logiciels l\u00e9gitimes comme Ammyy Admin et AnyDesk pour faciliter l’acc\u00e8s \u00e0 distance.<\/p>\n Les d\u00e9couvertes surviennent alors que l’acteur de Gamaredon a \u00e9t\u00e9 li\u00e9 \u00e0 un s\u00e9rie d’attaques d’ing\u00e9nierie sociale<\/a> visant \u00e0 lancer la cha\u00eene de livraison GammaLoad.PS1, permettant \u00e0 l’auteur de la menace de voler des fichiers et des informations d’identification stock\u00e9s dans les navigateurs Web.<\/p>\n “Alors que l’invasion russe de l’Ukraine approche de la barre des six mois, l’attention de longue date de Shuckworm sur le pays semble se poursuivre sans rel\u00e2che”, a not\u00e9 Symantec.<\/p>\n “Bien que Shuckworm ne soit pas n\u00e9cessairement le groupe d’espionnage le plus sophistiqu\u00e9 sur le plan tactique, il compense cela par sa concentration et sa persistance \u00e0 cibler sans rel\u00e2che les organisations ukrainiennes.”<\/p>\n Les conclusions font suite \u00e0 une alerte du CERT-UA, qui mis en garde<\/a> d’attaques de phishing “syst\u00e9matiques, massives et g\u00e9ographiquement dispers\u00e9es” impliquant l’utilisation d’un t\u00e9l\u00e9chargeur .NET appel\u00e9 RelicRace pour ex\u00e9cuter des charges utiles telles que Formbook et Snake Keylogger.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660639763_550_Les-pirates-de-lEtat-russe-continuent-dattaquer-les-entites-ukrainiennes.jpg\" "\\"Logiciel")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n