Un groupe de ran\u00e7ongiciels russophone surnomm\u00e9 VieuxGremlin <\/b>a \u00e9t\u00e9 attribu\u00e9 \u00e0 16 campagnes malveillantes visant des entit\u00e9s op\u00e9rant dans la nation eurasienne transcontinentale au cours de deux ans et demi.<\/p>\n
“Les victimes du groupe comprennent des entreprises de secteurs tels que la logistique, l’industrie, l’assurance, la vente au d\u00e9tail, l’immobilier, le d\u00e9veloppement de logiciels et la banque”, a d\u00e9clar\u00e9 Group-IB. a dit<\/a> dans un rapport exhaustif partag\u00e9 avec The Hacker News. “En 2020, le groupe a m\u00eame cibl\u00e9 un fabricant d’armes.”<\/p>\n Dans ce qui est rare dans le paysage des ran\u00e7ongiciels, OldGremlin (alias TinyScouts) est l’un des tr\u00e8s rares gangs de cybercriminalit\u00e9 \u00e0 motivation financi\u00e8re qui se concentre principalement sur les entreprises russes.<\/p>\n Dharma, Crylock et Thanos sont d’autres groupes notables, contribuant \u00e0 une augmentation des attaques de ransomware ciblant les entreprises du pays de plus de 200 % en 2021.<\/p>\n OldGremlin a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en septembre 2020 lorsque la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 bas\u00e9e \u00e0 Singapour a divulgu\u00e9 neuf campagnes orchestr\u00e9es par l’acteur entre mai et ao\u00fbt. La premi\u00e8re attaque a \u00e9t\u00e9 d\u00e9tect\u00e9e d\u00e9but avril 2020.<\/p>\n Au total, le groupe aurait men\u00e9 10 campagnes de phishing par e-mail en 2020, suivies d’une attaque tr\u00e8s r\u00e9ussie en 2021 et de cinq autres en 2022, avec des demandes de ran\u00e7on atteignant un record de 16,9 millions de dollars.<\/p>\n “OldGremlin \u00e9tudie minutieusement leurs victimes”, a expliqu\u00e9 Group-IB. “La ran\u00e7on demand\u00e9e est donc souvent proportionnelle \u00e0 la taille et au chiffre d’affaires de l’entreprise et est \u00e9videmment sup\u00e9rieure au budget n\u00e9cessaire pour assurer un niveau de s\u00e9curit\u00e9 de l’information convenable.”<\/p>\n Connues pour cibler principalement les r\u00e9seaux d’entreprise fonctionnant sous Windows, les attaques mont\u00e9es par OldGremlin ont exploit\u00e9 des e-mails de phishing se faisant passer pour des soci\u00e9t\u00e9s de services fiscaux et juridiques pour inciter les victimes \u00e0 cliquer sur des liens frauduleux et \u00e0 t\u00e9l\u00e9charger des fichiers malveillants, permettant aux attaquants de se frayer un chemin \u00e0 l’int\u00e9rieur des r\u00e9seaux.<\/p>\n “Les acteurs de la menace se font souvent passer pour des entreprises bien connues, notamment le groupe de m\u00e9dias RBC, le syst\u00e8me d’assistance juridique Consultant Plus, la soci\u00e9t\u00e9 1C-Bitrix, l’Union russe des industriels et entrepreneurs et Minsk Tractor Works”, a d\u00e9clar\u00e9 Group-IB.<\/p>\n Apr\u00e8s avoir pris un pied initial, OldGremlin s’efforce d’\u00e9tablir la persistance en cr\u00e9ant des t\u00e2ches planifi\u00e9es, en obtenant des privil\u00e8ges \u00e9lev\u00e9s \u00e0 l’aide de Cobalt Stroke et m\u00eame une faille dans Cisco AnyConnect (CVE-2020-3153<\/a> et CVE-2020-3433<\/a>), tout en acc\u00e9dant \u00e0 distance \u00e0 l’infrastructure compromise \u00e0 l’aide d’outils tels que TeamViewer.<\/p>\n Certains des aspects qui distinguent l’\u00e9quipage des autres groupes de ran\u00e7ongiciels sont qu’il ne s’appuie pas sur la double extorsion pour contraindre les entreprises cibl\u00e9es \u00e0 payer malgr\u00e9 l’exfiltration des donn\u00e9es. Il a \u00e9galement \u00e9t\u00e9 observ\u00e9 faisant de longues pauses apr\u00e8s chaque attaque r\u00e9ussie.<\/p>\n De plus, le temps d’attente moyen jusqu’au d\u00e9ploiement du ran\u00e7ongiciel a \u00e9t\u00e9 fix\u00e9 \u00e0 49 jours, bien au-dessus du rapport. Temps de s\u00e9jour m\u00e9dian de 11 jours<\/a>sugg\u00e9rant des efforts prolong\u00e9s de la part de l’acteur pour examiner le domaine pirat\u00e9 (ce qui est r\u00e9alis\u00e9 \u00e0 l’aide d’un outil appel\u00e9 TinyScout).<\/p>\n La vague de phishing la plus r\u00e9cente d’OldGremlin s’est produite le 23 ao\u00fbt 2022, avec des e-mails incorporant des liens pointant vers une charge utile d’archive ZIP h\u00e9berg\u00e9e sur Dropbox pour activer la killchain.<\/p>\n Ces fichiers d’archives, \u00e0 leur tour, h\u00e9bergent un fichier LNK escroc (surnomm\u00e9 TinyLink) qui t\u00e9l\u00e9charge une porte d\u00e9rob\u00e9e appel\u00e9e TinyFluff, qui est l’un des quatre implants utilis\u00e9s par le groupe : TinyPosh, TinyNode et TinyShell, avant de supprimer les sauvegardes de donn\u00e9es et de d\u00e9poser le fichier . Ran\u00e7ongiciel TinyCrypt bas\u00e9 sur NET.<\/p>\n OldGremlin utilise \u00e9galement d’autres outils tels que TinyShot, un utilitaire de console pour capturer des captures d’\u00e9cran, TinyKiller, qui tue les processus antivirus via une attaque BYOVD (apportez votre propre pilote vuln\u00e9rable) ciblant les pilotes gdrv.sys et RTCore64.sys.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/Des-chercheurs-detaillent-la-faille-Azure-SFX-qui-aurait-pu.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666299857_55_OldGremlin-Ransomware-cible-sur-une-douzaine-dentites-russes-dans-le.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666299858_770_OldGremlin-Ransomware-cible-sur-une-douzaine-dentites-russes-dans-le.jpg\")
<\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n