Des pirates informatiques li\u00e9s au gouvernement nord-cor\u00e9en ont \u00e9t\u00e9 observ\u00e9s en train d’utiliser une version mise \u00e0 jour d’une porte d\u00e9rob\u00e9e connue sous le nom de Dtrack ciblant un large \u00e9ventail d’industries en Allemagne, au Br\u00e9sil, en Inde, en Italie, au Mexique, en Suisse, en Arabie saoudite, en Turquie et aux \u00c9tats-Unis.<\/p>\n
“Dtrack permet aux criminels de t\u00e9l\u00e9charger, t\u00e9l\u00e9charger, d\u00e9marrer ou supprimer des fichiers sur l’h\u00f4te de la victime”, ont d\u00e9clar\u00e9 les chercheurs de Kaspersky, Konstantin Zykov et Jornt van der Wiel. a dit<\/a> dans un rapport.<\/p>\n Les mod\u00e8les de victimologie indiquent une expansion vers l’Europe et l’Am\u00e9rique latine. Les secteurs cibl\u00e9s par le logiciel malveillant sont l’\u00e9ducation, la fabrication de produits chimiques, les centres de recherche gouvernementaux et les instituts politiques, les fournisseurs de services informatiques, les fournisseurs de services publics et les entreprises de t\u00e9l\u00e9communications.<\/p>\n Dtrack, \u00e9galement appel\u00e9 Valefor et Preft, est l’\u0153uvre d’Andariel, un sous-groupe du Acteur de la menace de l’\u00c9tat-nation Lazarus<\/a> qui est suivi publiquement par la communaut\u00e9 de la cybers\u00e9curit\u00e9 au sens large en utilisant les surnoms Operation Troy, Silent Chollima et Stonefly.<\/p>\n D\u00e9couvert en septembre 2019, le malware a d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9ploy\u00e9 lors d’une cyberattaque visant une centrale nucl\u00e9aire en Inde, avec des intrusions plus r\u00e9centes utilisant Dtrack dans le cadre d’attaques de ransomware Maui.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 industrielle Dragos a depuis attribu\u00e9 l’attaque de l’installation nucl\u00e9aire \u00e0 un acteur mena\u00e7ant qu’elle appelle WASSONITE<\/a>soulignant l’utilisation de Dtrack pour l’acc\u00e8s \u00e0 distance au r\u00e9seau compromis.<\/p>\n Les derniers changements observ\u00e9s par Kaspersky concernent la fa\u00e7on dont l’implant dissimule sa pr\u00e9sence au sein d’un programme apparemment l\u00e9gitime (“NvContainer.exe<\/a>” ou “XColorHexagonCtrlTest.exe<\/a>“) et l’utilisation de trois couches de cryptage et d’obscurcissement con\u00e7ues pour rendre l’analyse plus difficile.<\/p>\n La charge utile finale, lors du d\u00e9cryptage, est ensuite inject\u00e9e dans le processus de l’Explorateur de fichiers Windows (“explorer.exe”) \u00e0 l’aide d’une technique appel\u00e9e processus d’\u00e9videment<\/a>. Le principal parmi les modules t\u00e9l\u00e9charg\u00e9s via Dtrack est un enregistreur de frappe ainsi que des outils pour capturer des captures d’\u00e9cran et collecter des informations syst\u00e8me.<\/p>\n “La porte d\u00e9rob\u00e9e Dtrack continue d’\u00eatre activement utilis\u00e9e par le groupe Lazarus”, ont conclu les chercheurs. “Les modifications apport\u00e9es \u00e0 la mani\u00e8re dont le logiciel malveillant est emball\u00e9 montrent que Lazarus consid\u00e8re toujours Dtrack comme un atout important.”<\/p>\n <\/p>\n<\/div>\n