{"id":388840,"date":"2022-09-29T11:34:31","date_gmt":"2022-09-29T13:34:31","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-campagne-dattaque-secrete-ciblant-des-sous-traitants-militaires\/"},"modified":"2022-09-29T11:34:33","modified_gmt":"2022-09-29T13:34:33","slug":"des-chercheurs-decouvrent-une-campagne-dattaque-secrete-ciblant-des-sous-traitants-militaires","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-campagne-dattaque-secrete-ciblant-des-sous-traitants-militaires\/","title":{"rendered":"Des chercheurs d\u00e9couvrent une campagne d’attaque secr\u00e8te ciblant des sous-traitants militaires"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Une nouvelle campagne d’attaques secr\u00e8tes a cibl\u00e9 plusieurs entreprises militaires et sous-traitantes en armement avec des e-mails de harponnage pour d\u00e9clencher un processus d’infection en plusieurs \u00e9tapes con\u00e7u pour d\u00e9ployer une charge utile inconnue sur des machines compromises.<\/p>\n

Les intrusions tr\u00e8s cibl\u00e9es, surnomm\u00e9es STEEP#MAVERICK<\/strong> par Securonix, ciblait \u00e9galement un fournisseur strat\u00e9gique de l’avion de chasse F-35 Lightning II.<\/p>\n

“L’attaque a \u00e9t\u00e9 men\u00e9e \u00e0 partir de la fin de l’\u00e9t\u00e9 2022 en ciblant au moins deux entreprises sous-traitantes militaires de premier plan”, a d\u00e9clar\u00e9 Den Iuzvyk, Tim Peck et Oleg Kolesnikov. a dit<\/a> dans une analyse.<\/p>\n

\"La<\/a><\/div>\n

Les cha\u00eenes d’infection commencent par un e-mail de phishing avec une pi\u00e8ce jointe d’archive ZIP contenant un fichier de raccourci qui pr\u00e9tend \u00eatre un document PDF sur “Soci\u00e9t\u00e9 et avantages”, qui est ensuite utilis\u00e9 pour r\u00e9cup\u00e9rer un stager – un binaire initial qui est utilis\u00e9 pour t\u00e9l\u00e9charger le malware souhait\u00e9 — depuis un serveur distant.<\/p>\n

Ce stager PowerShell pr\u00e9pare le terrain pour une “cha\u00eene robuste de stagers” qui progresse \u00e0 travers sept \u00e9tapes suppl\u00e9mentaires, lorsque le script PowerShell final ex\u00e9cute une charge utile distante “header.png” h\u00e9berg\u00e9e sur un serveur nomm\u00e9 “terma[.]application.”<\/p>\n

\"Attaque<\/div>\n

“Bien que nous ayons pu t\u00e9l\u00e9charger et analyser le fichier header.png, nous n’avons pas pu le d\u00e9coder car nous pensons que la campagne est termin\u00e9e et notre th\u00e9orie est que le fichier a \u00e9t\u00e9 remplac\u00e9 afin d’emp\u00eacher une analyse plus approfondie”, ont expliqu\u00e9 les chercheurs.<\/p>\n

“Nos tentatives de d\u00e9codage de la charge utile ne produiraient que des donn\u00e9es inutiles.”<\/p>\n

Ce qui est remarquable dans le modus operandi, c’est l’incorporation d’un code obscurci con\u00e7u pour contrecarrer l’analyse, en plus de rechercher la pr\u00e9sence d’un logiciel de d\u00e9bogage et d’arr\u00eater l’ex\u00e9cution si la langue du syst\u00e8me est d\u00e9finie sur le chinois ou le russe.<\/p>\n

Le logiciel malveillant est \u00e9galement con\u00e7u pour v\u00e9rifier la quantit\u00e9 de m\u00e9moire physique et se terminer une fois de plus s’il est inf\u00e9rieur \u00e0 4 Go. Est \u00e9galement inclus un Ch\u00e8que<\/a> pour l’infrastructure de virtualisation afin de d\u00e9terminer si le logiciel malveillant est ex\u00e9cut\u00e9 dans un environnement d’analyse ou un bac \u00e0 sable.<\/p>\n

\"La<\/a><\/div>\n

Mais si ce test \u00e9choue, plut\u00f4t que de simplement quitter l’ex\u00e9cution, le logiciel malveillant d\u00e9sactive les adaptateurs r\u00e9seau du syst\u00e8me, reconfigure le pare-feu Windows pour bloquer tout le trafic entrant et sortant, supprime de mani\u00e8re r\u00e9cursive les donn\u00e9es de tous les lecteurs et \u00e9teint l’ordinateur.<\/p>\n

Si toutes ces v\u00e9rifications r\u00e9ussissent, le stager PowerShell proc\u00e8de \u00e0 la d\u00e9sactivation de la journalisation, ajoute des exclusions Windows Defender pour les fichiers LNK, RAR et EXE et \u00e9tablit la persistance via une t\u00e2che planifi\u00e9e ou des modifications du registre Windows.<\/p>\n

“Dans l’ensemble, il est clair que cette attaque \u00e9tait relativement sophistiqu\u00e9e, l’acteur de la menace malveillante accordant une attention particuli\u00e8re \u00e0 l’opsec”, ont not\u00e9 les chercheurs. “Bien qu’il s’agisse d’une attaque tr\u00e8s cibl\u00e9e, les tactiques et techniques utilis\u00e9es sont bien connues et il est important de rester vigilant.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Une nouvelle campagne d’attaques secr\u00e8tes a cibl\u00e9 plusieurs entreprises militaires et sous-traitantes en armement avec des e-mails de harponnage pour d\u00e9clencher un processus d’infection en plusieurs \u00e9tapes con\u00e7u pour d\u00e9ployer une charge utile inconnue sur des machines compromises. Les intrusions tr\u00e8s cibl\u00e9es, surnomm\u00e9es STEEP#MAVERICK par Securonix, ciblait \u00e9galement un fournisseur strat\u00e9gique de l’avion de chasse […]<\/p>\n","protected":false},"author":1,"featured_media":388841,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[2930,12848,4175,4168,4158,4165,4161,14392,3073,133,4157,4159,4171,4170,4167,4621,4160,4163,4162,15113,4172,4169,7088,196,4166,4164],"class_list":["post-388840","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-campagne","tag-chercheurs","tag-ciblant","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dattaque","tag-decouvrent","tag-des","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-militaires","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-secrete","tag-securite-informatique","tag-securite-internet","tag-soustraitants","tag-une","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/388840","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=388840"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/388840\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/388841"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=388840"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=388840"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=388840"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}