Un groupe de piratage r\u00e9cemment d\u00e9couvert, connu pour cibler les employ\u00e9s traitant des transactions d’entreprise, a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e Danfouan<\/b>.<\/p>\n
Ce malware jusqu’ici non document\u00e9 est d\u00e9livr\u00e9 via un autre compte-gouttes appel\u00e9 Geppei, chercheurs de Symantec, par Broadcom Software, a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Le compte-gouttes “est utilis\u00e9 pour installer une nouvelle porte d\u00e9rob\u00e9e et d’autres outils utilisant la nouvelle technique de lecture de commandes \u00e0 partir de journaux Internet Information Services (IIS) apparemment inoffensifs”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n L’ensemble d’outils a \u00e9t\u00e9 attribu\u00e9 par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 \u00e0 un acteur d’espionnage pr\u00e9sum\u00e9 appel\u00e9 UNC3524, alias Cranefly, qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en mai 2022 pour son accent sur la collecte en masse d’e-mails de victimes qui traitent de fusions et acquisitions et d’autres transactions financi\u00e8res.<\/p>\n L’une des principales souches de logiciels malveillants du groupe est QUIETEXIT, une porte d\u00e9rob\u00e9e d\u00e9ploy\u00e9e sur des appareils r\u00e9seau qui ne prennent pas en charge les antivirus ou la d\u00e9tection des terminaux, tels que les \u00e9quilibreurs de charge et les contr\u00f4leurs de points d’acc\u00e8s sans fil, permettant \u00e0 l’attaquant de voler sous le radar pendant de longues p\u00e9riodes.<\/p>\n Geppei et Danfuan s’ajoutent aux cyber-armes personnalis\u00e9es de Cranefly, le premier agissant comme un compte-gouttes en lisant les commandes des journaux IIS qui se font passer pour des demandes d’acc\u00e8s Web inoffensives envoy\u00e9es \u00e0 un serveur compromis.<\/p>\n “Les commandes lues par Geppei contiennent des fichiers .ashx encod\u00e9s malveillants”, ont not\u00e9 les chercheurs. “Ces fichiers sont enregistr\u00e9s dans un dossier arbitraire d\u00e9termin\u00e9 par le param\u00e8tre de commande et ils s’ex\u00e9cutent comme des portes d\u00e9rob\u00e9es.”<\/p>\n Cela inclut un shell Web appel\u00e9 reGeorg<\/a>qui a \u00e9t\u00e9 utilis\u00e9 par d’autres acteurs comme APT28, DeftTorero<\/a>et Worok, et un malware in\u00e9dit appel\u00e9 Danfuan, qui est con\u00e7u pour ex\u00e9cuter le code C# re\u00e7u.<\/p>\n Symantec a d\u00e9clar\u00e9 qu’il n’avait pas observ\u00e9 l’acteur de la menace exfiltrer les donn\u00e9es des machines victimes malgr\u00e9 une longue dur\u00e9e de s\u00e9jour de 18 mois sur les r\u00e9seaux compromis.<\/p>\n “L’utilisation d’une nouvelle technique et d’outils personnalis\u00e9s, ainsi que les mesures prises pour masquer les traces de cette activit\u00e9 sur les machines victimes, indiquent que Cranefly est un acteur de menace assez qualifi\u00e9”, ont conclu les chercheurs.<\/p>\n “Les outils d\u00e9ploy\u00e9s et les efforts d\u00e9ploy\u00e9s pour dissimuler cette activit\u00e9 […] indiquent que la motivation la plus probable de ce groupe est la collecte de renseignements.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEglTybVbyQ3y6xCIxW9BIpqhgWBf_IhNgCo44HrgwUeYVi_GwvasznH93LLdkqJLwdp4DUkFkILg6m3WDgkue7MFxmbzFxmTBe7-pukEjyvUZ3j9yGyBcL2yUAZVFSQkjSric7YYfU8WgwHwYsS2-3wZ1zLQDAqgkoEpk5kZsbUuyh0UlV8nq7PplYEgQ\/s1600\/banners-crowdsec-728.png\")
<\/a><\/div>\n