Un groupe de cybercriminalit\u00e9 connu sous le nom de Vice-soci\u00e9t\u00e9<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 plusieurs souches de ran\u00e7ongiciels dans ses campagnes malveillantes destin\u00e9es aux secteurs de l’\u00e9ducation, du gouvernement et de la vente au d\u00e9tail.<\/p>\n L’\u00e9quipe Microsoft Security Threat Intelligence, qui suit le cluster de menaces sous le nom de DEV-0832, a d\u00e9clar\u00e9 que le groupe \u00e9vite de d\u00e9ployer des ran\u00e7ongiciels dans certains cas et pratique plut\u00f4t probablement l’extorsion en utilisant des donn\u00e9es vol\u00e9es exfiltr\u00e9es.<\/p>\n “D\u00e9placer les charges utiles des ransomwares au fil du temps \u00e0 partir de BlackCat, Casier quantique<\/a>et Zeppelin<\/a>la derni\u00e8re charge utile de DEV-0832 est une variante de Zeppelin qui inclut des extensions de fichiers sp\u00e9cifiques \u00e0 Vice Society, telles que .v-s0ciety, .v-society et, plus r\u00e9cemment, .locked”, la division de cybers\u00e9curit\u00e9 du g\u00e9ant de la technologie a dit<\/a>.<\/p>\n Vice Society, active depuis juin 2021, a \u00e9t\u00e9 r\u00e9guli\u00e8rement observ\u00e9e en train de crypter et d’exfiltrer les donn\u00e9es des victimes, et de menacer les entreprises d’exposer des informations siphonn\u00e9es pour les forcer \u00e0 payer une ran\u00e7on.<\/p>\n “Contrairement \u00e0 d’autres groupes de double extorsion RaaS (Ransomware-as-a-Service), Vice Society se concentre sur l’acc\u00e8s au syst\u00e8me de la victime pour d\u00e9ployer des binaires de ransomware vendus sur les forums du Dark Web”, d\u00e9clare la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SEKOIA. a dit<\/a> dans une analyse du groupe en juillet 2022.<\/p>\n L’acteur de la menace financi\u00e8rement motiv\u00e9 est connu pour s’appuyer sur des exploits pour les vuln\u00e9rabilit\u00e9s divulgu\u00e9es publiquement dans les applications Internet pour l’acc\u00e8s initial, tout en utilisant \u00e9galement des scripts PowerShell, des outils l\u00e9gitimes r\u00e9affect\u00e9s et des portes d\u00e9rob\u00e9es de base telles que SystemBC avant de d\u00e9ployer le ransomware.<\/p>\n Des acteurs de la Vice Society ont \u00e9galement \u00e9t\u00e9 aper\u00e7us en train d’utiliser Cobalt Strike pour le mouvement lat\u00e9ral, en plus de cr\u00e9er des t\u00e2ches planifi\u00e9es pour la persistance et d’abuser des vuln\u00e9rabilit\u00e9s dans Windows Print Spooler (alias PrintNightmare) et Common Log File System (CVE-2022-24521) pour \u00e9lever les privil\u00e8ges.<\/p>\n “Les acteurs de la Vice Society tentent d’\u00e9chapper \u00e0 la d\u00e9tection en faisant passer leurs logiciels malveillants et leurs outils pour des fichiers l\u00e9gitimes, en utilisant l’injection de processus, et utilisent probablement des techniques d’\u00e9vasion pour vaincre l’analyse dynamique automatis\u00e9e”, a d\u00e9clar\u00e9 l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA). a dit<\/a> le mois dernier.<\/p>\n Lors d’un incident de juillet 2022 r\u00e9v\u00e9l\u00e9 par Microsoft, l’acteur de la menace aurait tent\u00e9 de d\u00e9ployer initialement des ex\u00e9cutables QuantumLocker, pour ensuite le suivre avec des binaires pr\u00e9sum\u00e9s de ransomware Zeppelin cinq heures plus tard.<\/p>\n “Un tel incident pourrait sugg\u00e9rer que DEV-0832 maintient plusieurs charges utiles et commutateurs de ransomware en fonction des d\u00e9fenses cibles ou, alternativement, que des op\u00e9rateurs dispers\u00e9s travaillant sous l’\u00e9gide de DEV-0832 pourraient maintenir leurs propres charges utiles de ransomware pr\u00e9f\u00e9r\u00e9es pour la distribution”, a not\u00e9 Redmond.<\/p>\n Parmi les autres outils utilis\u00e9s par DEV-0832 se trouve une porte d\u00e9rob\u00e9e bas\u00e9e sur Go appel\u00e9e PortStarter qui offre la possibilit\u00e9 de modifier les param\u00e8tres du pare-feu et d’ouvrir des ports pour \u00e9tablir des connexions avec des serveurs de commande et de contr\u00f4le (C2) pr\u00e9configur\u00e9s.<\/p>\n Vice Society, en plus de tirer parti des binaires vivant hors de la terre (LOLBins) pour ex\u00e9cuter du code malveillant, a \u00e9galement tent\u00e9 de d\u00e9sactiver Microsoft Defender Antivirus \u00e0 l’aide de commandes de registre.<\/p>\n L’exfiltration de donn\u00e9es est finalement r\u00e9alis\u00e9e en lan\u00e7ant un script PowerShell qui transmet un large \u00e9ventail d’informations sensibles, allant des documents financiers aux donn\u00e9es m\u00e9dicales, \u00e0 une adresse IP cod\u00e9e en dur appartenant \u00e0 l’attaquant.<\/p>\n Redmond a en outre soulign\u00e9 que le groupe de cybercriminalit\u00e9 se concentre sur les organisations avec des contr\u00f4les de s\u00e9curit\u00e9 plus faibles et une probabilit\u00e9 plus \u00e9lev\u00e9e de paiement d’une ran\u00e7on, soulignant la n\u00e9cessit\u00e9 de appliquer les garanties n\u00e9cessaires<\/a> pour emp\u00eacher de telles attaques.<\/p>\n “Le passage d’une offre de ransomware en tant que service (RaaS) (BlackCat) \u00e0 une offre de malware achet\u00e9e en propri\u00e9t\u00e9 exclusive (Zeppelin) et une variante personnalis\u00e9e de la Vice Society indique que DEV-0832 a des liens actifs dans l’\u00e9conomie cybercriminelle et a test\u00e9 la charge utile des ransomwares d’efficacit\u00e9 ou d’opportunit\u00e9s d’extorsion post-ransomware \u00bb, a d\u00e9clar\u00e9 Microsoft.<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666778246_843_Les-pirates-de-la-Vice-Society-sont-a-lorigine-de.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/Les-chercheurs-detaillent-les-vulnerabilites-du-journal-des-evenements-Windows.png\")
<\/a><\/div>\n