SideWinder, un acteur \u00e9tatique prolifique principalement connu pour cibler des entit\u00e9s militaires pakistanaises, a pirat\u00e9 le site Web officiel de l’Autorit\u00e9 nationale de r\u00e9glementation de l’\u00e9nergie \u00e9lectrique (NEPRA) pour diffuser un logiciel malveillant sur mesure appel\u00e9 Faucon de guerre<\/strong>.<\/p>\n “La porte d\u00e9rob\u00e9e WarHawk r\u00e9cemment d\u00e9couverte contient divers modules malveillants qui fournissent Cobalt Strike, incorporant de nouveaux TTP tels que Injection KernelCallBackTable<\/a> et la v\u00e9rification du fuseau horaire standard du Pakistan afin d’assurer une campagne victorieuse”, Zscaler ThreatLabz a dit<\/a>.<\/p>\n Le groupe de menaces, \u00e9galement appel\u00e9 APT-C-17, Rattlesnake et Razor Tiger, est soup\u00e7onn\u00e9<\/a> \u00eatre un groupe parrain\u00e9 par l’\u00c9tat indien, bien qu’un rapport de Kaspersky plus t\u00f4t en mai reconnaisse que les indicateurs pr\u00e9c\u00e9dents qui ont conduit \u00e0 l’attribution ont depuis disparu, ce qui rend difficile de lier le groupe de menaces \u00e0 une nation sp\u00e9cifique.<\/p>\n Plus de 1 000 attaques auraient \u00e9t\u00e9 lanc\u00e9es par le groupe depuis avril 2020, une indication de la nouvelle agression de SideWinder depuis le d\u00e9but de ses op\u00e9rations il y a dix ans en 2012.<\/p>\n Les intrusions ont \u00e9t\u00e9 importantes non seulement en ce qui concerne leur fr\u00e9quence mais aussi dans leur persistance, alors m\u00eame que le groupe profite d’un arsenal massif de composants obscurcis et nouvellement d\u00e9velopp\u00e9s.<\/p>\n En juin 2022, l’auteur de la menace a \u00e9t\u00e9 d\u00e9couvert en train d’utiliser un script AntiBot con\u00e7u pour filtrer ses victimes afin de v\u00e9rifier l’environnement du navigateur client, en particulier l’adresse IP, afin de s’assurer que les cibles sont situ\u00e9es au Pakistan.<\/p>\n La campagne de septembre rep\u00e9r\u00e9e par Zscaler implique l’utilisation d’un fichier ISO militaris\u00e9 h\u00e9berg\u00e9 sur le site Web de NEPRA pour activer une cha\u00eene de destruction qui conduit au d\u00e9ploiement du logiciel malveillant WarHawk, l’artefact agissant \u00e9galement comme un leurre pour masquer l’activit\u00e9 malveillante en afficher<\/a> un avis l\u00e9gitime<\/a> \u00e9mis par la Division du Cabinet du Pakistan le 27 juillet 2022.<\/p>\n WarHawk, pour sa part, se fait passer pour des applications l\u00e9gitimes telles que ASUS Update Setup et Realtek HD Audio Manager pour attirer les victimes sans m\u00e9fiance dans l’ex\u00e9cution, entra\u00eenant l’exfiltration des m\u00e9tadonn\u00e9es du syst\u00e8me vers un serveur distant cod\u00e9 en dur, tout en recevant des charges utiles suppl\u00e9mentaires de l’URL.<\/p>\n Cela inclut un module d’ex\u00e9cution de commandes qui est responsable de l’ex\u00e9cution des commandes syst\u00e8me sur la machine infect\u00e9e re\u00e7ues du serveur de commande et de contr\u00f4le, un module de gestionnaire de fichiers qui \u00e9num\u00e8re de mani\u00e8re r\u00e9cursive les fichiers pr\u00e9sents sur diff\u00e9rents lecteurs et un module de t\u00e9l\u00e9chargement qui transmet les fichiers d’int\u00e9r\u00eat. au serveur.<\/p>\n Un chargeur Cobalt Strike est \u00e9galement d\u00e9ploy\u00e9 en tant que charge utile de deuxi\u00e8me \u00e9tape \u00e0 l’aide du module d’ex\u00e9cution de commande susmentionn\u00e9, qui valide le fuseau horaire de l’h\u00f4te pour confirmer qu’il correspond \u00e0 l’heure normale du Pakistan (PKT), faute de quoi le processus est termin\u00e9.<\/p>\n Suite \u00e0 l’anti-anThe loader injecte du shellcode dans un processus notepad.exe en utilisant une technique appel\u00e9e injection de processus KernelCallbackTable, l’auteur du logiciel malveillant r\u00e9cup\u00e9rant le code source d’un r\u00e9daction technique<\/a> publi\u00e9 en avril 2022 par un chercheur sous le pseudonyme en ligne Capt. Meelo.<\/p>\n Le shellcode d\u00e9crypte et charge ensuite Beacon, la charge utile de malware par d\u00e9faut utilis\u00e9e par Cobalt Strike pour \u00e9tablir une connexion \u00e0 son serveur de commande et de contr\u00f4le.<\/p>\n Selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, les liens de la campagne d’attaque avec l’APT SideWinder proviennent de la r\u00e9utilisation de l’infrastructure r\u00e9seau qui a \u00e9t\u00e9 identifi\u00e9e comme utilis\u00e9e par le groupe dans des activit\u00e9s ant\u00e9rieures ax\u00e9es sur l’espionnage contre le Pakistan.<\/p>\n “Le groupe SideWinder APT fait \u00e9voluer en permanence ses tactiques et ajoute de nouveaux logiciels malveillants \u00e0 son arsenal afin de mener \u00e0 bien des campagnes d’attaques d’espionnage contre ses cibles”, ont conclu les chercheurs.<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666603470_379_SideWinder-APT-utilise-la-nouvelle-porte-derobee-WarHawk-pour-cibler.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n