L’acteur de la menace Transparent Tribe a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle campagne destin\u00e9e aux organisations gouvernementales indiennes avec des versions trojanis\u00e9es d’une solution d’authentification \u00e0 deux facteurs appel\u00e9e Kavatch<\/b>.<\/p>\n
“Ce groupe abuse des publicit\u00e9s Google dans le but de diffuser des publicit\u00e9s malveillantes pour distribuer des versions d\u00e9rob\u00e9es des applications Kavach multi-authentification (MFA)”, a d\u00e9clar\u00e9 Sudeep Singh, chercheur chez Zscaler ThreatLabz. a dit<\/a> dans une analyse jeudi.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que le groupe de menaces persistantes avanc\u00e9es a \u00e9galement men\u00e9 des attaques de collecte d’informations d’identification \u00e0 faible volume dans lesquelles des sites Web malveillants se faisant passer pour des sites Web officiels du gouvernement indien ont \u00e9t\u00e9 cr\u00e9\u00e9s pour inciter les utilisateurs involontaires \u00e0 entrer leurs mots de passe.<\/p>\n Transparent Tribe, \u00e9galement connu sous les surnoms APT36, Operation C-Major et Mythic Leopard, est un collectif d’adversaires pakistanais pr\u00e9sum\u00e9 qui a l’habitude de frapper des entit\u00e9s indiennes et afghanes.<\/p>\n La derni\u00e8re cha\u00eene d’attaques n’est pas la premi\u00e8re fois que l’acteur mena\u00e7ant vise Kavach (qui signifie “armure” en hindi), un application obligatoire<\/a> requis par les utilisateurs avec des adresses e-mail sur les domaines @gov.in et @nic.in pour se connecter au service de messagerie en tant que deuxi\u00e8me couche d’authentification.<\/p>\n Plus t\u00f4t en mars, Cisco Talos a d\u00e9couvert une campagne de piratage qui utilisait de faux installateurs Windows pour Kavach comme leurre pour infecter le personnel gouvernemental avec CrimsonRAT et d’autres artefacts.<\/p>\n L’une de leurs tactiques courantes consiste \u00e0 imiter le gouvernement l\u00e9gitime, l’arm\u00e9e et les organisations connexes pour activer la cha\u00eene de destruction. La derni\u00e8re campagne men\u00e9e par l’acteur mena\u00e7ant ne fait pas exception.<\/p>\n “L’acteur de la menace a enregistr\u00e9 plusieurs nouveaux domaines h\u00e9bergeant des pages Web se faisant passer pour le portail officiel de t\u00e9l\u00e9chargement de l’application Kavach”, a d\u00e9clar\u00e9 Singh. “Ils ont abus\u00e9 de la fonctionnalit\u00e9 de recherche payante de Google Ads pour pousser les domaines malveillants en t\u00eate des r\u00e9sultats de recherche Google pour les utilisateurs en Inde.”<\/p>\n Depuis mai 2022, Transparent Tribe aurait \u00e9galement distribu\u00e9 des versions d\u00e9rob\u00e9es de l’application Kavach via des magasins d’applications contr\u00f4l\u00e9s par des attaquants qui pr\u00e9tendent proposer des t\u00e9l\u00e9chargements de logiciels gratuits.<\/p>\n Ce site Web appara\u00eet \u00e9galement comme l’un des meilleurs r\u00e9sultats dans les recherches Google, agissant efficacement comme une passerelle pour rediriger les utilisateurs \u00e0 la recherche de l’application vers l’installateur frauduleux bas\u00e9 sur .NET.<\/p>\n Le groupe, \u00e0 partir d’ao\u00fbt 2022, a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train d’utiliser un outil d’exfiltration de donn\u00e9es pr\u00e9c\u00e9demment non document\u00e9 nomm\u00e9 LimePad, qui est con\u00e7u pour t\u00e9l\u00e9charger des fichiers d’int\u00e9r\u00eat de l’h\u00f4te infect\u00e9 vers le serveur de l’attaquant.<\/p>\n Zscaler a d\u00e9clar\u00e9 avoir \u00e9galement \u206f identifi\u00e9 un domaine enregistr\u00e9 par Transparent Tribe usurpant le page de connexion de l’application Kavach<\/a> qui n’a \u00e9t\u00e9 affich\u00e9 qu’\u00e0 partir d’une adresse IP indienne, ou bien a redirig\u00e9 le visiteur vers la page d’accueil du Centre national d’informatique de l’Inde (NIC<\/a>).<\/p>\n La page, pour sa part, est \u00e9quip\u00e9e pour capturer les informations d’identification saisies par la victime et les envoyer \u00e0 un serveur distant pour mener de nouvelles attaques contre les infrastructures li\u00e9es au gouvernement.<\/p>\n L’utilisation des publicit\u00e9s Google et de LimePad indique les tentatives continues de l’acteur mena\u00e7ant d’\u00e9voluer et d’affiner ses tactiques et son ensemble d’outils malveillants.<\/p>\n “APT-36 continue d’\u00eatre l’un des groupes de menaces persistantes avanc\u00e9es les plus r\u00e9pandus, ax\u00e9 sur le ciblage des utilisateurs travaillant dans des organisations gouvernementales indiennes”, a d\u00e9clar\u00e9 Singh. “Les applications utilis\u00e9es en interne dans les organisations gouvernementales indiennes sont un choix populaire de th\u00e8me d’ing\u00e9nierie sociale utilis\u00e9 par le groupe APT-36.”<\/p>\n <\/p>\n<\/div>\n![\"Employ\u00e9s](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1667571028_518_Des-chercheurs-detaillent-une-nouvelle-campagne-de-logiciels-malveillants-ciblant.jpg\" "\\"Employ\u00e9s")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-divulguent-les-details-de-la-faille-RCE-critique.png\")
<\/a><\/div>\n