{"id":503341,"date":"2022-12-09T15:55:28","date_gmt":"2022-12-09T17:55:28","guid":{"rendered":"https:\/\/teknomers.com\/fr\/nouvelle-variante-de-logiciel-malveillant-truebot-tirant-parti-du-bogue-netwrix-auditor-et-du-ver-raspberry-robin\/"},"modified":"2022-12-09T15:55:29","modified_gmt":"2022-12-09T17:55:29","slug":"nouvelle-variante-de-logiciel-malveillant-truebot-tirant-parti-du-bogue-netwrix-auditor-et-du-ver-raspberry-robin","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/nouvelle-variante-de-logiciel-malveillant-truebot-tirant-parti-du-bogue-netwrix-auditor-et-du-ver-raspberry-robin\/","title":{"rendered":"Nouvelle variante de logiciel malveillant Truebot tirant parti du bogue Netwrix Auditor et du ver Raspberry Robin"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>09 d\u00e9cembre 2022<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont signal\u00e9 une augmentation VraiBot<\/strong> infections, ciblant principalement le Mexique, le Br\u00e9sil, le Pakistan et les \u00c9tats-Unis<\/p>\n

Cisco Talos a d\u00e9clar\u00e9 que les attaquants \u00e0 l’origine de l’op\u00e9ration sont pass\u00e9s de l’utilisation d’e-mails malveillants \u00e0 des m\u00e9thodes de livraison alternatives telles que l’exploitation d’une faille d’ex\u00e9cution de code \u00e0 distance (RCE) d\u00e9sormais corrig\u00e9e dans l’auditeur Netwrix ainsi que le ver Raspberry Robin.<\/p>\n

“L’activit\u00e9 post-compromis comprenait le vol de donn\u00e9es et l’ex\u00e9cution du ran\u00e7ongiciel Clop”, a d\u00e9clar\u00e9 Tiago Pereira, chercheur en s\u00e9curit\u00e9. a dit<\/a> dans un rapport jeudi.<\/p>\n

TrueBot est un t\u00e9l\u00e9chargeur de logiciels malveillants Windows attribu\u00e9 \u00e0 un acteur malveillant suivi par Group-IB sous le nom de Silence, une \u00e9quipe russophone cens\u00e9e partager des associations<\/a> avec Evil Corp (alias DEV-0243) et TA505<\/a>.<\/p>\n

\"La<\/a><\/center><\/div>\n

Le module de la premi\u00e8re \u00e9tape fonctionne comme un point d’entr\u00e9e pour les activit\u00e9s de post-exploitation ult\u00e9rieures, y compris le vol d’informations \u00e0 l’aide d’un utilitaire d’exfiltration de donn\u00e9es personnalis\u00e9 jusqu’ici inconnu appel\u00e9 Teleport, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n

L’utilisation de Raspberry Robin – un ver se propageant principalement via des cl\u00e9s USB infect\u00e9es – comme vecteur de livraison pour TrueBot a \u00e9t\u00e9 r\u00e9cemment mise en \u00e9vidence par Microsoft, qui, selon elle, fait partie d’un “\u00e9cosyst\u00e8me de logiciels malveillants complexe et interconnect\u00e9”.<\/p>\n

\"Logiciel<\/div>\n

Dans ce qui est un autre signe de collaboration \u00e9troite avec d’autres familles de logiciels malveillants, Raspberry Robin a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de d\u00e9ployer FakeUpdates<\/a> (alias SocGholish) sur des syst\u00e8mes compromis, conduisant finalement \u00e0 un comportement de type ran\u00e7ongiciel li\u00e9 \u00e0 Evil Corp.<\/p>\n

Microsoft suit les op\u00e9rateurs du logiciel malveillant bas\u00e9 sur USB sous le nom de DEV-0856 et les attaques de ransomware Clop qui se produisent via Raspberry Robin et TrueBot sous le cluster de menaces \u00e9mergentes DEV-0950.<\/p>\n

“DEV-0950 utilise traditionnellement le phishing pour acqu\u00e9rir la majorit\u00e9 de ses victimes, donc ce passage notable \u00e0 l’utilisation de Raspberry Robin leur permet de fournir des charges utiles aux infections existantes et de faire passer leurs campagnes plus rapidement aux stades des ransomwares”, a not\u00e9 le fabricant de Windows en octobre 2022.<\/p>\n

\"Logiciel<\/div>\n

Les derni\u00e8res d\u00e9couvertes de Cisco Talos montrent que Silence APT a men\u00e9 une petite s\u00e9rie d’attaques entre la mi-ao\u00fbt et septembre 2022 en abusant d’une vuln\u00e9rabilit\u00e9 RCE critique dans l’auditeur Netwrix (CVE-2022-31199<\/a>score CVSS\u00a0: 9,8) pour t\u00e9l\u00e9charger et ex\u00e9cuter TrueBot.<\/p>\n

Le fait que le bogue ait \u00e9t\u00e9 militaris\u00e9 un mois seulement apr\u00e8s sa r\u00e9v\u00e9lation publique par l’\u00e9v\u00eaque Fox \u00e0 la mi-juillet 2022 sugg\u00e8re que “les attaquants ne sont pas seulement \u00e0 la recherche de nouveaux vecteurs d’infection, mais sont \u00e9galement capables de les tester rapidement et de les incorporer dans leur flux de travail \u00bb, a d\u00e9clar\u00e9 Pereira.<\/p>\n

Cependant, les infections TrueBot en octobre impliquaient l’utilisation d’un vecteur d’attaque diff\u00e9rent \u2013 \u200b\u200bc’est-\u00e0-dire Raspberry Robin \u2013 soulignant l’\u00e9valuation de Microsoft sur le r\u00f4le central du ver USB en tant que plate-forme de distribution de logiciels malveillants. <\/p>\n

La fonction principale de TrueBot est de collecter des informations aupr\u00e8s de l’h\u00f4te et de d\u00e9ployer les charges utiles de la prochaine \u00e9tape telles que Cobalt Strike, FlawedGrace et Teleport. Ceci est suivi par l’ex\u00e9cution du binaire du ran\u00e7ongiciel apr\u00e8s avoir collect\u00e9 les informations pertinentes.<\/p>\n

L’outil d’exfiltration de donn\u00e9es Teleport se distingue \u00e9galement par sa capacit\u00e9 \u00e0 limiter les vitesses de t\u00e9l\u00e9chargement et la taille des fichiers, emp\u00eachant ainsi les transmissions d’\u00eatre d\u00e9tect\u00e9es par le logiciel de surveillance. En plus de cela, il peut effacer sa propre pr\u00e9sence de la machine.<\/p>\n

Un examen plus approfondi des commandes \u00e9mises via Teleport r\u00e9v\u00e8le que le programme est exclusivement utilis\u00e9 pour collecter des fichiers \u00e0 partir des dossiers OneDrive et T\u00e9l\u00e9chargements ainsi que les messages \u00e9lectroniques Outlook de la victime.<\/p>\n

“La livraison de Raspberry Robin a conduit \u00e0 la cr\u00e9ation d’un botnet de plus de 1 000 syst\u00e8mes distribu\u00e9s dans le monde entier, mais avec un accent particulier sur le Mexique, le Br\u00e9sil et le Pakistan”, a d\u00e9clar\u00e9 Pereira.<\/p>\n

Les attaquants, cependant, semblent \u00eatre pass\u00e9s \u00e0 un m\u00e9canisme de distribution TrueBot inconnu \u00e0 partir de novembre, le vecteur r\u00e9ussissant \u00e0 coopter plus de 500 serveurs Windows connect\u00e9s \u00e0 Internet situ\u00e9s aux \u00c9tats-Unis, au Canada et au Br\u00e9sil dans un botnet.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n