Les soci\u00e9t\u00e9s d’investissement en crypto-monnaie sont la cible d’un cluster de menaces en d\u00e9veloppement qui utilise des groupes Telegram pour rechercher des victimes potentielles.<\/p>\n
Le Security Threat Intelligence Center (MSTIC) de Microsoft suit l’activit\u00e9 sous le nom DEV-0139<\/strong>et s’appuie sur un rapport r\u00e9cent de Volexity qui a attribu\u00e9 le m\u00eame ensemble d’attaques au groupe Lazarus de la Cor\u00e9e du Nord.<\/p>\n “DEV-0139 a rejoint les groupes Telegram utilis\u00e9s pour faciliter la communication entre les clients VIP et les plateformes d’\u00e9change de crypto-monnaie et a identifi\u00e9 leur cible parmi les membres”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. a dit<\/a>.<\/p>\n L’adversaire s’est ensuite fait passer pour une autre soci\u00e9t\u00e9 d’investissement en crypto-monnaie et a invit\u00e9 la victime \u00e0 rejoindre un autre groupe de discussion Telegram sous pr\u00e9texte de demander des commentaires sur la structure des frais de n\u00e9gociation utilis\u00e9e par les plateformes d’\u00e9change \u00e0 travers les niveaux VIP.<\/p>\n Il convient de souligner que le Programme VIP<\/a> est con\u00e7u<\/a> \u00e0 r\u00e9compense<\/a> commer\u00e7ants \u00e0 gros volume<\/a> avec des incitations exclusives sur les frais de n\u00e9gociation et des remises bas\u00e9es sur l’activit\u00e9 des 30 derniers jours.<\/p>\n Cette cha\u00eene d’attaques concorde notamment avec l’analyse par Volexity d’une campagne d’octobre 2022, dans laquelle l’acteur de la menace est pass\u00e9 de l’utilisation de fichiers d’installation MSI \u00e0 une arme Document Microsoft Excel<\/a> affichant les taux suppos\u00e9s de pi\u00e8ces de crypto-monnaie.<\/p>\n Microsoft a d\u00e9crit le document comme contenant des donn\u00e9es probablement pr\u00e9cises pour augmenter les chances de succ\u00e8s de la campagne, sugg\u00e9rant que DEV-0139 conna\u00eet bien le fonctionnement interne de l’industrie de la cryptographie.<\/p>\n Le fichier Excel contenant des logiciels malveillants, pour sa part, est charg\u00e9 d’ex\u00e9cuter une macro malveillante qui est utilis\u00e9e pour d\u00e9poser et ex\u00e9cuter furtivement une deuxi\u00e8me feuille de calcul Excel, qui, \u00e0 son tour, comprend une macro qui t\u00e9l\u00e9charge un fichier image PNG h\u00e9berg\u00e9 sur OpenDrive.<\/p>\n Ce fichier image contient trois ex\u00e9cutables, chacun \u00e9tant utilis\u00e9 pour lancer la charge utile de l’\u00e9tape suivante, ouvrant finalement la voie \u00e0 une porte d\u00e9rob\u00e9e qui permet \u00e0 l’auteur de la menace d’acc\u00e9der \u00e0 distance au syst\u00e8me infect\u00e9.<\/p>\n De plus, la feuille de calcul de la structure des frais est prot\u00e9g\u00e9e par un mot de passe dans le but de convaincre la cible d’activer les macros, d\u00e9clenchant ainsi les actions malveillantes. Une analyse des m\u00e9tadonn\u00e9es du fichier montre qu’il a \u00e9t\u00e9 cr\u00e9\u00e9 le 14 octobre 2022 par un utilisateur nomm\u00e9 Wolf.<\/p>\n DEV-0139 a \u00e9galement \u00e9t\u00e9 li\u00e9 \u00e0 une s\u00e9quence d’attaque alternative dans laquelle un package MSI pour une fausse application nomm\u00e9e “CryptoDashboardV2” est livr\u00e9 \u00e0 la place d’un document Excel malveillant pour d\u00e9ployer le m\u00eame implant.<\/p>\n La porte d\u00e9rob\u00e9e permet principalement un acc\u00e8s \u00e0 distance \u00e0 l’h\u00f4te en collectant des informations \u00e0 partir du syst\u00e8me cibl\u00e9 et en se connectant \u00e0 un serveur de commande et de contr\u00f4le (C2) pour recevoir des commandes suppl\u00e9mentaires.<\/p>\n “Le march\u00e9 de la crypto-monnaie reste un domaine d’int\u00e9r\u00eat pour les acteurs de la menace”, a d\u00e9clar\u00e9 Microsoft. “Les utilisateurs cibl\u00e9s sont identifi\u00e9s via des canaux de confiance pour augmenter les chances de succ\u00e8s.”<\/p>\n Ces derni\u00e8res ann\u00e9es, Telegram a non seulement \u00e9t\u00e9 t\u00e9moin adoption r\u00e9pandue<\/a> dans l’industrie de la crypto-monnaie, mais ont \u00e9galement \u00e9t\u00e9 coopt\u00e9s par des acteurs de la menace qui cherchent \u00e0 discuter des vuln\u00e9rabilit\u00e9s du jour z\u00e9ro, \u00e0 proposer des donn\u00e9es vol\u00e9es et \u00e0 commercialiser leurs services via la plate-forme de messagerie populaire.<\/p>\n “Avec les utilisateurs qui perdent confiance dans l’anonymat offert par les forums, les march\u00e9s illicites se tournent de plus en plus vers Telegram”, Positive Technologies divulgu\u00e9<\/a> dans une nouvelle \u00e9tude portant sur 323 cha\u00eenes et groupes publics Telegram comptant plus d’un million d’abonn\u00e9s au total.<\/p>\n “Le nombre de cyberattaques uniques ne cesse de cro\u00eetre, et le march\u00e9 des services cybercriminels se d\u00e9veloppe et se d\u00e9place vers les m\u00e9dias sociaux et les applications de messagerie ordinaires, abaissant ainsi consid\u00e9rablement le seuil d’entr\u00e9e des cybercriminels.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670451689_744_Microsoft-alerte-lindustrie-de-la-crypto-monnaie-des-cyberattaques-ciblees.png\"\/)
<\/div>\n