La Cor\u00e9e du Nord li\u00e9e ScarCruft<\/strong> groupe a \u00e9t\u00e9 attribu\u00e9 \u00e0 une porte d\u00e9rob\u00e9e pr\u00e9c\u00e9demment non document\u00e9e appel\u00e9e Dauphin<\/b> que l’acteur mena\u00e7ant a utilis\u00e9 contre des cibles situ\u00e9es dans son homologue du sud.<\/p>\n “La porte de derri\u00e8re […] dispose d’un large \u00e9ventail de capacit\u00e9s d’espionnage, y compris la surveillance des lecteurs et des appareils portables et l’exfiltration de fichiers d’int\u00e9r\u00eat, l’enregistrement de frappe et la prise de captures d’\u00e9cran, et le vol d’informations d’identification des navigateurs \u00bb, a d\u00e9clar\u00e9 Filip Jur\u010dacko, chercheur chez ESET. a dit<\/a> dans un nouveau rapport publi\u00e9 aujourd’hui.<\/p>\n Dolphin serait d\u00e9ploy\u00e9 de mani\u00e8re s\u00e9lective, le logiciel malveillant utilisant des services cloud tels que Google Drive pour l’exfiltration de donn\u00e9es ainsi que la commande et le contr\u00f4le.<\/p>\n La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir trouv\u00e9 l’implant d\u00e9ploy\u00e9 en tant que charge utile de derni\u00e8re \u00e9tape dans le cadre d’une attaque de point d’eau au d\u00e9but de 2021 dirig\u00e9e contre un journal num\u00e9rique sud-cor\u00e9en.<\/p>\n La campagne, d\u00e9couverte pour la premi\u00e8re fois par Kaspersky<\/a> et Volexity l’ann\u00e9e derni\u00e8re, a entra\u00een\u00e9 la militarisation de deux failles d’Internet Explorer (CVE-2020-1380<\/a> et CVE-2021-26411<\/a>) pour d\u00e9poser une porte d\u00e9rob\u00e9e nomm\u00e9e BLUELIGHT.<\/p>\n ScarCruft, \u00e9galement appel\u00e9 APT37, InkySquid, Reaper et Ricochet Chollima, est un groupe APT \u00e0 motivation g\u00e9opolitique qui a l’habitude d’attaquer des entit\u00e9s gouvernementales, des diplomates et des organes de presse associ\u00e9s aux affaires nord-cor\u00e9ennes. Il est connu pour \u00eatre actif depuis au moins 2012.<\/p>\n Plus t\u00f4t en avril, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Stairwell a divulgu\u00e9 les d\u00e9tails d’une attaque de harponnage ciblant des journalistes couvrant le pays dans le but ultime de d\u00e9ployer un malware baptis\u00e9 GOLDBACKDOOR qui partage des chevauchements avec une autre porte d\u00e9rob\u00e9e ScarCruft nomm\u00e9e BLUELIGHT.<\/p>\n Les derni\u00e8res d\u00e9couvertes d’ESET ont mis en lumi\u00e8re une deuxi\u00e8me porte d\u00e9rob\u00e9e plus sophistiqu\u00e9e livr\u00e9e \u00e0 un petit groupe de victimes via BLUELIGHT, indiquant une op\u00e9ration d’espionnage tr\u00e8s cibl\u00e9e.<\/p>\n Ceci, \u00e0 son tour, est r\u00e9alis\u00e9 en ex\u00e9cutant un shellcode d’installation qui active un chargeur comprenant un composant Python et un shellcode, ce dernier ex\u00e9cutant un autre chargeur de shellcode pour supprimer la porte d\u00e9rob\u00e9e.<\/p>\n “Alors que la porte d\u00e9rob\u00e9e BLUELIGHT effectue une reconnaissance et une \u00e9valuation de base de la machine compromise apr\u00e8s exploitation, Dolphin est plus sophistiqu\u00e9 et d\u00e9ploy\u00e9 manuellement uniquement contre des victimes s\u00e9lectionn\u00e9es”, a expliqu\u00e9 Jur\u010dacko.<\/p>\n Ce qui rend Dolphin beaucoup plus puissant que BLUELIGHT, c’est sa capacit\u00e9 \u00e0 rechercher des p\u00e9riph\u00e9riques amovibles et \u00e0 exfiltrer des fichiers d’int\u00e9r\u00eat, tels que des supports, des documents, des e-mails et des certificats.<\/p>\n La porte d\u00e9rob\u00e9e, depuis sa d\u00e9couverte initiale en avril 2021, aurait subi trois it\u00e9rations successives qui s’accompagnent de son propre ensemble d’am\u00e9liorations de fonctionnalit\u00e9s et lui conf\u00e8rent davantage de capacit\u00e9s d’\u00e9vasion de d\u00e9tection.<\/p>\n “Dolphin est un autre ajout au vaste arsenal de portes d\u00e9rob\u00e9es de ScarCruft abusant des services de stockage en nuage”, a d\u00e9clar\u00e9 Jur\u010dacko. “Une capacit\u00e9 inhabituelle trouv\u00e9e dans les versions pr\u00e9c\u00e9dentes de la porte d\u00e9rob\u00e9e est la possibilit\u00e9 de modifier les param\u00e8tres des comptes Google et Gmail des victimes pour r\u00e9duire leur s\u00e9curit\u00e9, probablement afin de maintenir l’acc\u00e8s au compte pour les acteurs de la menace.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"Pirates](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669843659_697_Les-pirates-nord-coreens-utilisent-de-nouveaux-quotDauphinquot-Porte-derobee-pour.png\" "\\"Pirates")
<\/div>\n