Les agences de voyages sont devenues la cible d’un groupe de hack-for-hire surnomm\u00e9 Evilnum<\/strong> dans le cadre d’une campagne plus large destin\u00e9e aux institutions d’investissement juridiques et financi\u00e8res au Moyen-Orient et en Europe.<\/p>\n Les attaques ciblant les cabinets d’avocats tout au long de 2020 et 2021 impliquaient une variante remani\u00e9e d’un malware appel\u00e9 Janicab qui exploite un certain nombre de services publics comme YouTube en tant que r\u00e9solveurs de dead drop, Kaspersky a dit<\/a> dans un rapport technique publi\u00e9 cette semaine.<\/p>\n Les infections \u00e0 Janicab comprennent un ensemble diversifi\u00e9 de victimes situ\u00e9es en \u00c9gypte, en G\u00e9orgie, en Arabie saoudite, aux \u00c9mirats arabes unis et au Royaume-Uni. C’est la premi\u00e8re fois que des organisations juridiques en Arabie saoudite sont cibl\u00e9es par ce groupe.<\/p>\n \u00c9galement suivi sous le nom de DeathStalker, l’acteur de la menace est connu pour d\u00e9ployer des portes d\u00e9rob\u00e9es comme Janicab, Evilnum, Powersing et PowerPepper pour exfiltrer des informations confidentielles sur l’entreprise.<\/p>\n “Leur int\u00e9r\u00eat pour la collecte d’informations commerciales sensibles nous porte \u00e0 croire que DeathStalker est un groupe de mercenaires proposant des services de piratage contre r\u00e9mun\u00e9ration ou agissant comme une sorte de courtier en informations dans les milieux financiers”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9. c’est not\u00e9<\/a> en ao\u00fbt 2020.<\/p>\n Selon ESET, l’\u00e9quipe de piratage a pour habitude de r\u00e9colter des pr\u00e9sentations internes de l’entreprise, des licences de logiciels, des identifiants de messagerie et des documents contenant des listes de clients, des investissements et des op\u00e9rations commerciales.<\/p>\n Plus t\u00f4t cette ann\u00e9e, Zscaler et Proofpoint ont d\u00e9couvert de nouvelles attaques orchestr\u00e9es par Evilnum qui sont dirig\u00e9es contre des entreprises des secteurs de la crypto et de la fintech depuis fin 2021.<\/p>\n L’analyse de Kaspersky des intrusions de DeathStalker a r\u00e9v\u00e9l\u00e9 l’utilisation d’un compte-gouttes bas\u00e9 sur LNK int\u00e9gr\u00e9 dans une archive ZIP pour un acc\u00e8s initial au moyen d’une attaque de harponnage.<\/p>\n L’attachement de leurre pr\u00e9tend \u00eatre un document de profil d’entreprise li\u00e9 \u00e0 l’hydraulique de puissance qui, lorsqu’il est ouvert, conduit au d\u00e9ploiement de l’implant Janicab bas\u00e9 sur VBScript, qui est capable d’ex\u00e9cuter des commandes et de d\u00e9ployer plus d’outils.<\/p>\n Les nouvelles versions du logiciel malveillant modulaire ont simultan\u00e9ment supprim\u00e9 les fonctionnalit\u00e9s d’enregistrement audio et ajout\u00e9 un module d’enregistreur de frappe qui partage les chevauchements avec les attaques pr\u00e9c\u00e9dentes de Powersing. Les autres fonctions incluent la v\u00e9rification des produits antivirus install\u00e9s et l’obtention d’une liste des processus indiquant l’analyse des logiciels malveillants.<\/p>\n Les attaques de 2021 se distinguent \u00e9galement par l’utilisation d’anciens liens YouTube non r\u00e9pertori\u00e9s qui sont utilis\u00e9s pour h\u00e9berger une cha\u00eene encod\u00e9e qui est d\u00e9chiffr\u00e9e par Janicab pour extraire l’adresse IP de commande et de contr\u00f4le (C2) pour r\u00e9cup\u00e9rer les commandes de suivi et exfiltrer les donn\u00e9es.<\/p>\n “\u00c9tant donn\u00e9 que l’auteur de la menace utilise d’anciens liens YouTube non r\u00e9pertori\u00e9s, la probabilit\u00e9 de trouver les liens pertinents sur YouTube est presque nulle”, ont d\u00e9clar\u00e9 les chercheurs. “Cela permet \u00e9galement \u00e0 l’acteur de la menace de r\u00e9utiliser efficacement l’infrastructure C2.”<\/p>\n Les r\u00e9sultats soulignent que l’auteur de la menace a continu\u00e9 \u00e0 mettre \u00e0 jour son ensemble d’outils de logiciels malveillants pour maintenir la furtivit\u00e9 sur de longues p\u00e9riodes.<\/p>\n Outre la liste blanche des applications et le renforcement du syst\u00e8me d’exploitation, il est recommand\u00e9 aux organisations de surveiller les processus d’Internet Explorer, car le navigateur est utilis\u00e9 en mode masqu\u00e9 pour communiquer avec le serveur C2.<\/p>\n Comme les secteurs juridiques et financiers sont une cible commune pour l’acteur de la menace, les chercheurs ont en outre \u00e9mis l’hypoth\u00e8se que les clients et les op\u00e9rateurs de DeathStalker pourraient militariser les intrusions pour garder un \u0153il sur les poursuites, faire chanter des personnes de haut niveau, suivre les actifs financiers et r\u00e9colter des renseignements commerciaux sur le potentiel. fusions et acquisitions.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"Groupe](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjvzICFd1Dd-HC6vei-xlc8QypVCcyk_pm6PMXLJf9sXSlnPztyM4kFY73fHAZ1_M94Z_q8sEMLEAjwTQQGsSnSaE3P2SKaR7730lynzmHQMuvHhEoZQUW8HPI-PcsOsqW15lN8YsVaYICNWDOtL6FXkppJ0HQwfCkELnnIMIPlcpVVxv9eKdY6W8On\/s728-e1000\/code.png\" "\\"Groupe")
<\/div>\n