Une nouvelle campagne de phishing cibl\u00e9e s’est concentr\u00e9e sur une solution d’authentification \u00e0 deux facteurs appel\u00e9e Kavatch<\/b> qui est utilis\u00e9 par les repr\u00e9sentants du gouvernement indien.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Securonix a surnomm\u00e9 l’activit\u00e9 STEPPY # KAVACH<\/strong>l’attribuant \u00e0 un acteur mena\u00e7ant connu sous le nom de SideCopy sur la base de chevauchements tactiques avec des attaques pr\u00e9c\u00e9dentes.<\/p>\n “Les fichiers .LNK sont utilis\u00e9s pour lancer l’ex\u00e9cution de code qui finit par t\u00e9l\u00e9charger et ex\u00e9cuter une charge utile C# malveillante, qui fonctionne comme un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT)”, ont d\u00e9clar\u00e9 les chercheurs de Securonix Den Iuzvyk, Tim Peck et Oleg Kolesnikov. m’a dit<\/a> dans un nouveau rapport.<\/p>\n SideCopy, un \u00e9quipe de piratage<\/a> soup\u00e7onn\u00e9 d’\u00eatre d’origine pakistanaise et actif depuis au moins 2019, partagerait des liens avec un autre acteur appel\u00e9 Transparent Tribe (alias APT36 ou Mythic Leopard).<\/p>\n Il est \u00e9galement connu pour imiter les cha\u00eenes d’attaque exploit\u00e9es par SideWinder, un groupe prolifique d’\u00c9tats-nations qui cible de mani\u00e8re disproportionn\u00e9e les entit\u00e9s militaires bas\u00e9es au Pakistan, pour d\u00e9ployer son propre ensemble d’outils.<\/p>\n Cela dit, ce n’est pas la premi\u00e8re fois que Kavach appara\u00eet comme une cible pour l’acteur. En juillet 2021, Cisco Talos a d\u00e9taill\u00e9 une op\u00e9ration d’espionnage qui a \u00e9t\u00e9 entreprise pour voler les informations d’identification des employ\u00e9s du gouvernement indien.<\/p>\n Les applications leurres sur le th\u00e8me du Kavach ont depuis \u00e9t\u00e9 coopt\u00e9es par Transparent Tribe dans ses attaques visant l’Inde depuis le d\u00e9but de l’ann\u00e9e.<\/p>\n La derni\u00e8re s\u00e9quence d’attaque observ\u00e9e par Securonix au cours des deux derni\u00e8res semaines consiste \u00e0 utiliser des e-mails de phishing pour inciter les victimes potentielles \u00e0 ouvrir un fichier de raccourci (.LNK) afin d’ex\u00e9cuter une charge utile .HTA \u00e0 distance \u00e0 l’aide du mshta.exe<\/a> Utilitaire Windows.<\/p>\n L’application HTML, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9, “a \u00e9t\u00e9 d\u00e9couverte h\u00e9berg\u00e9e sur un site Web probablement compromis, nich\u00e9e dans un obscur r\u00e9pertoire de” galerie “con\u00e7u pour stocker certaines des images du site”.<\/p>\n Le site Web compromis en question est incometaxdelhi[.]org, le site Web officiel du d\u00e9partement indien de l’imp\u00f4t sur le revenu pour la r\u00e9gion de Delhi. Le fichier malveillant n’est plus disponible sur le portail.<\/p>\n Dans la phase suivante, l’ex\u00e9cution du fichier .HTA entra\u00eene l’ex\u00e9cution d’un code JavaScript obscurci con\u00e7u pour afficher un fichier image leurre comportant un annonce<\/a> du minist\u00e8re indien de la D\u00e9fense il y a un an en d\u00e9cembre 2021.<\/p>\n Le code JavaScript t\u00e9l\u00e9charge en outre un ex\u00e9cutable \u00e0 partir d’un serveur distant, \u00e9tablit la persistance via les modifications du registre Windows et red\u00e9marre la machine pour lancer automatiquement le binaire apr\u00e8s le d\u00e9marrage.<\/p>\n Le fichier binaire, pour sa part, fonctionne comme une porte d\u00e9rob\u00e9e qui permet \u00e0 l’auteur de la menace d’ex\u00e9cuter des commandes envoy\u00e9es depuis un domaine contr\u00f4l\u00e9 par l’attaquant, de r\u00e9cup\u00e9rer et d’ex\u00e9cuter des charges utiles suppl\u00e9mentaires, de prendre des captures d’\u00e9cran et d’exfiltrer des fichiers.<\/p>\n Le composant d’exfiltration comprend \u00e9galement une option permettant de rechercher sp\u00e9cifiquement un fichier de base de donn\u00e9es (“kavach.db”) cr\u00e9\u00e9 par l’application Kavach sur le syst\u00e8me pour stocker les informations d’identification.<\/p>\n Il convient de noter que la cha\u00eene d’infection susmentionn\u00e9e \u00e9tait divulgu\u00e9<\/a> par MalwareHunterTeam dans une s\u00e9rie de tweets le 8 d\u00e9cembre 2022, d\u00e9crivant le cheval de Troie d’acc\u00e8s \u00e0 distance comme MargulasRAT.<\/p>\n “Sur la base des donn\u00e9es corr\u00e9l\u00e9es des \u00e9chantillons binaires obtenus du RAT utilis\u00e9 par les acteurs de la menace, cette campagne se poursuit contre des cibles indiennes non d\u00e9tect\u00e9es depuis un an”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671770183_323_LastPass-admet-une-grave-violation-de-donnees-et-des-coffres-forts.png\")
<\/a><\/center><\/div>\n![\"Attaques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1671797743_319_Les-chercheurs-mettent-en-garde-contre-les-attaques-de-phishing.png\" "\\"Attaques")
<\/div>\n