Des entit\u00e9s gouvernementales en Ukraine ont \u00e9t\u00e9 viol\u00e9es dans le cadre d’une nouvelle campagne qui a exploit\u00e9 des versions trojanis\u00e9es des fichiers d’installation de Windows 10 pour mener des activit\u00e9s de post-exploitation.<\/p>\n
Mandiant, qui a d\u00e9couvert l’attaque de la cha\u00eene d’approvisionnement vers la mi-juillet 2022, a d\u00e9clar\u00e9 que les fichiers ISO malveillants avaient \u00e9t\u00e9 distribu\u00e9s via des sites Web Torrent en ukrainien et en russe. Il suit le cluster de menaces comme UNC4166<\/strong>.<\/p>\n “Lors de l’installation du logiciel compromis, le logiciel malveillant recueille des informations sur le syst\u00e8me compromis et les exfiltre”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. m’a dit<\/a> dans une plong\u00e9e technique approfondie publi\u00e9e jeudi.<\/p>\n Bien que la provenance du collectif contradictoire soit inconnue, les intrusions auraient cibl\u00e9 des organisations qui avaient \u00e9t\u00e9 auparavant victimes d’attaques d’essuie-glace perturbatrices attribu\u00e9es \u00e0 APT28, un acteur parrain\u00e9 par l’\u00c9tat russe.<\/p>\n Le fichier ISO, par la soci\u00e9t\u00e9 de renseignement sur les menaces appartenant \u00e0 Google, a \u00e9t\u00e9 con\u00e7u pour d\u00e9sactiver la transmission des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie de l’ordinateur infect\u00e9 \u00e0 Microsoft, installer des portes d\u00e9rob\u00e9es PowerShell, ainsi que bloquer les mises \u00e0 jour automatiques et la v\u00e9rification des licences.<\/p>\n L’objectif principal de l’op\u00e9ration semble avoir \u00e9t\u00e9 la collecte d’informations, avec des implants suppl\u00e9mentaires d\u00e9ploy\u00e9s sur les machines, mais seulement apr\u00e8s avoir effectu\u00e9 une reconnaissance initiale de l’environnement compromis pour d\u00e9terminer s’il contient l’intelligence de valeur.<\/p>\n Ceux-ci comprenaient Passager clandestin<\/a>un outil proxy open source, Cobalt Strike Beacon, et SPAREPART, une porte d\u00e9rob\u00e9e l\u00e9g\u00e8re programm\u00e9e en C, permettant \u00e0 l’auteur de la menace d’ex\u00e9cuter des commandes, de r\u00e9colter des donn\u00e9es, de capturer des frappes et des captures d’\u00e9cran, et d’exporter les informations vers un serveur distant.<\/p>\n Dans certains cas, l’adversaire a tent\u00e9 de t\u00e9l\u00e9charger le navigateur d’anonymat TOR sur l’appareil de la victime. Bien que la raison exacte de cette action ne soit pas claire, on soup\u00e7onne qu’elle a pu servir de voie d’exfiltration alternative.<\/p>\n SPAREPART, comme son nom l’indique, est consid\u00e9r\u00e9 comme un logiciel malveillant redondant d\u00e9ploy\u00e9 pour maintenir l’acc\u00e8s \u00e0 distance au syst\u00e8me en cas d’\u00e9chec des autres m\u00e9thodes. Il est \u00e9galement fonctionnellement identique aux portes d\u00e9rob\u00e9es PowerShell abandonn\u00e9es au d\u00e9but de la cha\u00eene d’attaque.<\/p>\n “L’utilisation d’ISO contenant des chevaux de Troie est nouvelle dans les op\u00e9rations d’espionnage et les capacit\u00e9s anti-d\u00e9tection incluses indiquent que les acteurs derri\u00e8re cette activit\u00e9 sont soucieux de la s\u00e9curit\u00e9 et patients, car l’op\u00e9ration aurait n\u00e9cessit\u00e9 un temps et des ressources importants pour d\u00e9velopper et attendre que l’ISO soit install\u00e9 sur un r\u00e9seau d’int\u00e9r\u00eat \u00bb, a d\u00e9clar\u00e9 Mandiant.<\/p>\n Les d\u00e9couvertes arrivent comme Point de contr\u00f4le<\/a> et Technologies positives<\/a> divulgu\u00e9 des attaques mises en sc\u00e8ne par un groupe d’espionnage surnomm\u00e9 Atlas des nuages<\/strong> contre le secteur gouvernemental en Russie, en Bi\u00e9lorussie, en Azerba\u00efdjan, en Turquie et en Slov\u00e9nie dans le cadre d’une campagne persistante.<\/p>\n L’\u00e9quipe de piratage, active depuis 2014, a un historique d’attaques contre des entit\u00e9s en Europe de l’Est et en Asie centrale. Mais depuis le d\u00e9clenchement de la guerre russo-ukrainienne, on l’a observ\u00e9 ciblant principalement des entit\u00e9s en Russie, en Bi\u00e9lorussie et en Transnistrie.<\/p>\n “Les acteurs maintiennent \u00e9galement leur concentration sur les r\u00e9gions annex\u00e9es par la Russie de la p\u00e9ninsule de Crim\u00e9e, de Lougansk et de Donetsk”, a d\u00e9clar\u00e9 Check Point dans une analyse la semaine derni\u00e8re.<\/p>\n Atlas des nuages<\/a>\u00e9galement appel\u00e9 Clean Ursa, Inception et Oxygen, reste non attribu\u00e9<\/a> \u00e0 ce jour, rejoignant les go\u00fbts d’autres APT comme TajMahal, DarkUniverse et Metador. Le groupe tire son nom de sa d\u00e9pendance \u00e0 l’\u00e9gard de services cloud comme OpenDrive pour h\u00e9berger des logiciels malveillants et pour la commande et le contr\u00f4le (C2).<\/p>\n Les cha\u00eenes d’attaque orchestr\u00e9es par l’adversaire utilisent g\u00e9n\u00e9ralement des e-mails de phishing contenant des pi\u00e8ces jointes leurres comme vecteur d’intrusion initial, ce qui conduit finalement \u00e0 la livraison d’une charge utile malveillante via une s\u00e9quence complexe en plusieurs \u00e9tapes.<\/p>\n Le logiciel malveillant entre ensuite en contact avec un serveur C2 contr\u00f4l\u00e9 par un acteur pour r\u00e9cup\u00e9rer des portes d\u00e9rob\u00e9es suppl\u00e9mentaires capables de voler des fichiers avec des extensions sp\u00e9cifiques \u00e0 partir des terminaux pirat\u00e9s.<\/p>\n Les attaques observ\u00e9es par Check Point, en revanche, aboutissent \u00e0 une porte d\u00e9rob\u00e9e bas\u00e9e sur PowerShell appel\u00e9e PowerShower, qui a \u00e9t\u00e9 d’abord document\u00e9<\/a> par Palo Alto Networks Unit 42 en novembre 2018.<\/p>\n Certaines de ces intrusions en juin 2022 se sont \u00e9galement av\u00e9r\u00e9es fructueuses, permettant \u00e0 l’acteur mena\u00e7ant d’obtenir un acc\u00e8s complet au r\u00e9seau et d’utiliser des outils comme Chocolatey, AnyDesk et PuTTY pour approfondir leur implantation.<\/p>\n “Avec l’escalade du conflit entre la Russie et l’Ukraine, ils se sont concentr\u00e9s l’ann\u00e9e derni\u00e8re sur la Russie et la Bi\u00e9lorussie et leurs secteurs diplomatique, gouvernemental, \u00e9nerg\u00e9tique et technologique, ainsi que sur les r\u00e9gions annex\u00e9es de l’Ukraine”, a ajout\u00e9 Check Point.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"Programme](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671207762_153_Programme-dinstallation-de-Windows-10-infecte-par-un-cheval-de.png\" "\\"Programme")
<\/div>\nCloud Atlas frappe la Russie et la Bi\u00e9lorussie<\/h3>\n
![\"Programme](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671207762_890_Programme-dinstallation-de-Windows-10-infecte-par-un-cheval-de.png\" "\\"Programme")
<\/div>\n