Un acteur iranien de la menace persistante avanc\u00e9e (APT) connu sous le nom de Agrius<\/strong> a \u00e9t\u00e9 attribu\u00e9 \u00e0 l’origine d’une s\u00e9rie d’attaques d’effacement de donn\u00e9es visant les industries du diamant en Afrique du Sud, en Isra\u00ebl et \u00e0 Hong Kong.<\/p>\n L’essuie-glace, appel\u00e9 Fantasy par ESET, aurait \u00e9t\u00e9 livr\u00e9 via une attaque de la cha\u00eene d’approvisionnement ciblant un d\u00e9veloppeur de suite logicielle isra\u00e9lien dans le cadre d’une campagne qui a d\u00e9but\u00e9 en f\u00e9vrier 2022.<\/p>\n Parmi les victimes figurent des soci\u00e9t\u00e9s de ressources humaines, des soci\u00e9t\u00e9s de conseil en informatique et un grossiste en diamants en Isra\u00ebl\u00a0; une entit\u00e9 sud-africaine travaillant dans l’industrie du diamant ; et un bijoutier bas\u00e9 \u00e0 Hong Kong.<\/p>\n “L’essuie-glace Fantasy est construit sur les fondations de l’essuie-glace Apostle pr\u00e9c\u00e9demment signal\u00e9, mais ne tente pas de se faire passer pour un ran\u00e7ongiciel, comme l’a fait Apostle \u00e0 l’origine, Adam Burgher, chercheur chez ESET. divulgu\u00e9<\/a> dans une analyse mercredi. “Au lieu de cela, il va directement au travail en effa\u00e7ant les donn\u00e9es.”<\/p>\n Apostle a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par SentinelOne en mai 2021 comme un essuie-glace devenu ransomware qui a \u00e9t\u00e9 d\u00e9ploy\u00e9 dans des attaques destructrices contre des cibles isra\u00e9liennes.<\/p>\n Agrius, le groupe align\u00e9 sur l’Iran \u00e0 l’origine des intrusions, est actif depuis au moins d\u00e9cembre 2020 et exploite les failles de s\u00e9curit\u00e9 connues dans les applications accessibles sur Internet pour supprimer les coques Web qui sont, \u00e0 leur tour, utilis\u00e9es pour faciliter la reconnaissance, les mouvements lat\u00e9raux et la livraison. des charges utiles de l’\u00e9tage final.<\/p>\n La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que la premi\u00e8re attaque avait \u00e9t\u00e9 d\u00e9tect\u00e9e le 20 f\u00e9vrier 2022, lorsque l’acteur a d\u00e9ploy\u00e9 des outils de collecte d’informations d’identification dans le r\u00e9seau informatique de l’organisation sud-africaine.<\/p>\n Agrius a ensuite lanc\u00e9 l’attaque par essuyage via Fantasy le 12 mars 2022, avant de frapper d’autres entreprises en Isra\u00ebl et \u00e0 Hong Kong \u00e0 la m\u00eame date.<\/p>\n Fantasy est ex\u00e9cut\u00e9 au moyen d’un autre outil appel\u00e9 Sandals, un ex\u00e9cutable Windows 32 bits \u00e9crit en C#\/.NET. On dit qu’il est d\u00e9ploy\u00e9 sur l’h\u00f4te compromis via une attaque de la cha\u00eene d’approvisionnement utilisant le m\u00e9canisme de mise \u00e0 jour logicielle du d\u00e9veloppeur isra\u00e9lien.<\/p>\n Ceci est \u00e9tay\u00e9 par l’\u00e9valuation d’ESET selon laquelle toutes les victimes sont des clients du d\u00e9veloppeur de logiciels concern\u00e9 et que le binaire d’effacement suit une convention de d\u00e9nomination (“fantasy45.exe” et “fantasy35.exe”) similaire \u00e0 celle de son contrepartie l\u00e9gitime<\/a>.<\/p>\n L’essuie-glace, pour sa part, fonctionne en r\u00e9cup\u00e9rant de mani\u00e8re r\u00e9cursive la liste des r\u00e9pertoires pour chaque lecteur, en \u00e9crasant chaque fichier de ces r\u00e9pertoires avec des donn\u00e9es parasites, en attribuant un horodatage futur aux fichiers, puis en les supprimant.<\/p>\n “Cela est probablement fait pour rendre la r\u00e9cup\u00e9ration et l’analyse m\u00e9dico-l\u00e9gale plus difficiles”, a expliqu\u00e9 Burgher.<\/p>\n Dans une nouvelle tentative d’effacer toutes les traces de l’activit\u00e9, Fantasy efface tous les journaux d’\u00e9v\u00e9nements Windows, purge de mani\u00e8re r\u00e9cursive tous les fichiers du lecteur syst\u00e8me, \u00e9crase le Master Boot Record du syst\u00e8me, s’auto-supprime et enfin red\u00e9marre la machine.<\/p>\n La campagne, qui n’a pas dur\u00e9 plus de trois heures, a finalement \u00e9chou\u00e9, ESET d\u00e9clarant qu’il \u00e9tait en mesure de bloquer l’ex\u00e9cution de l’essuie-glace. Le d\u00e9veloppeur du logiciel a depuis publi\u00e9 des mises \u00e0 jour propres pour bloquer les attaques.<\/p>\n Le nom de la soci\u00e9t\u00e9 isra\u00e9lienne qui a \u00e9t\u00e9 victime de l’attaque de la cha\u00eene d’approvisionnement n’a pas \u00e9t\u00e9 divulgu\u00e9 par ESET, mais des preuves indiquent qu’il s’agit de Rubinstein Software, qui commercialise un progiciel de gestion int\u00e9gr\u00e9 (ERP<\/a>) solution appel\u00e9e Fantaisie<\/a> qui est utilis\u00e9 pour la gestion des stocks de bijoux.<\/p>\n “Depuis sa d\u00e9couverte en 2021, Agrius s’est uniquement concentr\u00e9 sur des op\u00e9rations destructrices”, a conclu Burgher.<\/p>\n \u00ab \u00c0 cette fin, les op\u00e9rateurs d’Agrios ont probablement ex\u00e9cut\u00e9 une attaque de la cha\u00eene d’approvisionnement en ciblant les m\u00e9canismes de mise \u00e0 jour de logiciels d’une soci\u00e9t\u00e9 de logiciels isra\u00e9lienne pour d\u00e9ployer Fantasy, son tout dernier essuie-glace, aupr\u00e8s de victimes en Isra\u00ebl, \u00e0 Hong Kong et en Afrique du Sud.<\/p>\n Agrius est loin d’\u00eatre le premier groupe de menaces li\u00e9 \u00e0 l’Iran \u00e0 avoir \u00e9t\u00e9 rep\u00e9r\u00e9 en train de d\u00e9ployer des logiciels malveillants destructeurs.<\/p>\n La APT33<\/a> groupe de piratage (alias Elfin, Holmium<\/a>ou Refined Kitten), qui est soup\u00e7onn\u00e9 d’agir \u00e0 la demande du gouvernement iranien, aurait \u00e9t\u00e9 \u00e0 l’origine de plusieurs attaques qui ont utilis\u00e9 le Essuie-glace Shamoon<\/a> contre des cibles situ\u00e9es au Moyen-Orient.<\/p>\n Le logiciel malveillant d’effacement de donn\u00e9es portant le nom de code ZeroCleare a \u00e9galement \u00e9t\u00e9 utilis\u00e9 par des acteurs de la menace soutenus par l’Iran suivis sous le nom d’APT34 (alias Oilrig ou Helix Kitten) dans des attaques dirig\u00e9es contre des organisations du secteur de l’\u00e9nergie et de l’industrie au Moyen-Orient.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"menace](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670497684_554_Des-pirates-informatiques-iraniens-frappent-lindustrie-du-diamant-avec-des.png\" "\\"menace")
<\/div>\n