Le groupe Lazarus, soutenu par la Cor\u00e9e du Nord, a \u00e9t\u00e9 observ\u00e9 en train de d\u00e9ployer un rootkit Windows en profitant d’un exploit dans un pilote de micrologiciel Dell, mettant en \u00e9vidence de nouvelles tactiques adopt\u00e9es par l’adversaire parrain\u00e9 par l’\u00c9tat.<\/p>\n
L’attaque BYOVD (Bring Your Own Vulnerable Driver), qui a eu lieu \u00e0 l’automne 2021, est une autre variante de l’activit\u00e9 d’espionnage de l’acteur mena\u00e7ant appel\u00e9e Operation In(ter)ception qui est dirig\u00e9e contre les industries de l’a\u00e9rospatiale et de la d\u00e9fense.<\/p>\n
“La campagne a commenc\u00e9 par des e-mails de harponnage contenant des documents malveillants sur le th\u00e8me d’Amazon et ciblant un employ\u00e9 d’une entreprise a\u00e9rospatiale aux Pays-Bas et un journaliste politique en Belgique”, a d\u00e9clar\u00e9 Peter K\u00e1lnai, chercheur chez ESET. a dit<\/a>.<\/p>\n Des cha\u00eenes d’attaque se sont d\u00e9roul\u00e9es lors de l’ouverture des documents leurre, conduisant \u00e0 la distribution de droppers malveillants qui \u00e9taient des versions trojanis\u00e9es de projets open source, corroborant les r\u00e9cents rapports de Google Mandiant et Microsoft.<\/p>\n ESET a d\u00e9clar\u00e9 avoir d\u00e9couvert des preuves que Lazarus avait abandonn\u00e9 des versions militaris\u00e9es de FingerText<\/a> et sslSniffer, un composant du biblioth\u00e8que wolfSSL<\/a>en plus des t\u00e9l\u00e9chargeurs et t\u00e9l\u00e9chargeurs bas\u00e9s sur HTTPS.<\/p>\n Les intrusions ont \u00e9galement ouvert la voie \u00e0 la porte d\u00e9rob\u00e9e de choix du groupe baptis\u00e9e BLINDINGCAN – \u00e9galement connue sous le nom d’AIRDRY et ZetaNile – qu’un op\u00e9rateur peut utiliser pour contr\u00f4ler et explorer des syst\u00e8mes compromis.<\/p>\n Mais ce qui est remarquable dans les attaques de 2021, c’est un module rootkit qui exploitait une faille du pilote Dell pour obtenir la capacit\u00e9 de lire et d’\u00e9crire dans la m\u00e9moire du noyau. Le probl\u00e8me, suivi en tant que CVE-2021-21551, concerne un ensemble de vuln\u00e9rabilit\u00e9s critiques d’escalade de privil\u00e8ges dans dbutil_2_3.sys.<\/p>\n “[This] repr\u00e9sente le premier abus enregistr\u00e9 de la vuln\u00e9rabilit\u00e9 CVE-2021-21551 \u00bb, a not\u00e9 K\u00e1lnai. \u00ab Cet outil, combin\u00e9 \u00e0 la vuln\u00e9rabilit\u00e9, d\u00e9sactive la surveillance de toutes les solutions de s\u00e9curit\u00e9 sur les machines compromises.<\/p>\n Nomm\u00e9 FudModule, le malware jusque-l\u00e0 non document\u00e9 atteint ses objectifs via plusieurs m\u00e9thodes “soit inconnues auparavant, soit famili\u00e8res uniquement aux chercheurs sp\u00e9cialis\u00e9s en s\u00e9curit\u00e9 et aux d\u00e9veloppeurs (anti-)triche”, selon ESET.<\/p>\n “Les attaquants ont ensuite utilis\u00e9 leur acc\u00e8s en \u00e9criture \u00e0 la m\u00e9moire du noyau pour d\u00e9sactiver sept m\u00e9canismes propos\u00e9s par le syst\u00e8me d’exploitation Windows pour surveiller ses actions, comme le registre, le syst\u00e8me de fichiers, la cr\u00e9ation de processus, le suivi des \u00e9v\u00e9nements, etc., aveuglant essentiellement les solutions de s\u00e9curit\u00e9 d’une mani\u00e8re tr\u00e8s g\u00e9n\u00e9rique et robuste. “, a d\u00e9clar\u00e9 Kalnai. “Il ne fait aucun doute que cela n\u00e9cessitait des comp\u00e9tences approfondies en mati\u00e8re de recherche, de d\u00e9veloppement et de test.”<\/p>\n Ce n’est pas la premi\u00e8re fois que l’auteur de la menace recourt \u00e0 l’utilisation d’un conducteur vuln\u00e9rable<\/a> pour monter ses attaques de rootkit. Le mois dernier, l’ASEC d’AhnLab d\u00e9taill\u00e9<\/a> l’exploitation d’un pilote l\u00e9gitime connu sous le nom de “ene.sys” pour d\u00e9sarmer les logiciels de s\u00e9curit\u00e9 install\u00e9s dans les machines.<\/p>\n Les r\u00e9sultats sont une d\u00e9monstration de la t\u00e9nacit\u00e9 et de la capacit\u00e9 du groupe Lazarus \u00e0 innover et \u00e0 modifier ses tactiques selon les besoins au fil des ans, malgr\u00e9 un examen minutieux des activit\u00e9s du collectif de la part des forces de l’ordre et de la communaut\u00e9 de recherche au sens large.<\/p>\n “La diversit\u00e9, le nombre et l’excentricit\u00e9 dans la mise en \u0153uvre des campagnes Lazarus d\u00e9finissent ce groupe, ainsi que le fait qu’il ex\u00e9cute les trois piliers des activit\u00e9s cybercriminelles\u00a0: le cyberespionnage, le cybersabotage et la poursuite du gain financier”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n