Le chargeur de logiciels malveillants connu sous le nom de Bumblebee est de plus en plus coopt\u00e9 par les acteurs de la menace associ\u00e9s \u00e0 BazarLoader, TrickBot et IcedID dans leurs campagnes visant \u00e0 violer les r\u00e9seaux cibles pour les activit\u00e9s de post-exploitation.<\/p>\n
“Les op\u00e9rateurs de Bumblebee m\u00e8nent des activit\u00e9s de reconnaissance intensives et redirigent la sortie des commandes ex\u00e9cut\u00e9es vers des fichiers pour exfiltration”, ont d\u00e9clar\u00e9 les chercheurs de Cybereason, Meroujan Antonyan et Alon Laufer. a dit<\/a> dans une r\u00e9daction technique.<\/p>\n Bumblebee est apparu pour la premi\u00e8re fois en mars 2022 lorsque le Threat Analysis Group (TAG) de Google a d\u00e9masqu\u00e9 les activit\u00e9s d’un premier courtier d’acc\u00e8s surnomm\u00e9 Exotic Lily, li\u00e9 au TrickBot et aux plus grands collectifs Conti.<\/p>\n G\u00e9n\u00e9ralement fourni via un acc\u00e8s initial acquis via des campagnes de harponnage, le mode op\u00e9ratoire a depuis \u00e9t\u00e9 modifi\u00e9 en \u00e9vitant les documents contenant des macros au profit des fichiers ISO et LNK, principalement en r\u00e9ponse \u00e0 la d\u00e9cision de Microsoft de bloquer les macros par d\u00e9faut.<\/p>\n “La distribution du malware se fait par des e-mails de phishing avec une pi\u00e8ce jointe ou un lien vers une archive malveillante contenant Bumblebee”, ont d\u00e9clar\u00e9 les chercheurs. “L’ex\u00e9cution initiale repose sur l’ex\u00e9cution de l’utilisateur final qui doit extraire l’archive, monter un fichier image ISO et cliquer sur un fichier de raccourci Windows (LNK).”<\/p>\n Le fichier LNK, pour sa part, contient la commande pour lancer le chargeur Bumblebee, qui est ensuite utilis\u00e9 comme conduit pour les actions de l’\u00e9tape suivante telles que la persistance, l’\u00e9l\u00e9vation des privil\u00e8ges, la reconnaissance et le vol d’informations d’identification.<\/p>\n Le cadre de simulation d’adversaire Cobalt Strike est \u00e9galement utilis\u00e9 lors de l’attaque lors de l’obtention de privil\u00e8ges \u00e9lev\u00e9s sur les terminaux infect\u00e9s, permettant \u00e0 l’acteur de la menace de se d\u00e9placer lat\u00e9ralement sur le r\u00e9seau. La persistance est obtenue en d\u00e9ployant le logiciel de bureau \u00e0 distance AnyDesk.<\/p>\n Dans l’incident analys\u00e9 par Cybereason, les informations d’identification vol\u00e9es d’un utilisateur hautement privil\u00e9gi\u00e9 ont ensuite \u00e9t\u00e9 utilis\u00e9es pour prendre le contr\u00f4le du Active Directory<\/a>sans oublier de cr\u00e9er un compte utilisateur local pour l’exfiltration de donn\u00e9es.<\/p>\n “Le temps qu’il a fallu entre l’acc\u00e8s initial et la compromission d’Active Directory \u00e9tait de moins de deux jours”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. “Les attaques impliquant Bumblebee doivent \u00eatre trait\u00e9es comme critiques, […] et ce chargeur est connu pour la livraison de ransomwares.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Chargeur](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660834043_171_Les-pirates-utilisent-Bumblebee-Loader-pour-compromettre-les-services-Active.jpg\" "\\"Chargeur")
<\/div>\n![\"Chargeur](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660834043_410_Les-pirates-utilisent-Bumblebee-Loader-pour-compromettre-les-services-Active.jpg\" "\\"Chargeur")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660741232_673_La-nouvelle-vulnerabilite-Zero-Day-de-Google-Chrome-est-exploitee-a.png\")
<\/a><\/div>\n