{"id":541016,"date":"2023-01-03T15:29:24","date_gmt":"2023-01-03T17:29:24","guid":{"rendered":"https:\/\/teknomers.com\/fr\/raspberry-robin-worm-evolue-pour-attaquer-les-secteurs-de-la-finance-et-de-lassurance-en-europe\/"},"modified":"2023-01-03T15:29:25","modified_gmt":"2023-01-03T17:29:25","slug":"raspberry-robin-worm-evolue-pour-attaquer-les-secteurs-de-la-finance-et-de-lassurance-en-europe","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/raspberry-robin-worm-evolue-pour-attaquer-les-secteurs-de-la-finance-et-de-lassurance-en-europe\/","title":{"rendered":"Raspberry Robin Worm \u00e9volue pour attaquer les secteurs de la finance et de l’assurance en Europe"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>03 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Post-exploitation \/ Logiciels malveillants<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les secteurs de la finance et de l’assurance en Europe ont \u00e9t\u00e9 cibl\u00e9s par la Rouge-gorge Framboise<\/b> ver, car le logiciel malveillant continue de faire \u00e9voluer ses capacit\u00e9s de post-exploitation tout en restant sous le radar.<\/p>\n

“Ce qui est unique avec le malware, c’est qu’il est fortement obscurci et tr\u00e8s complexe \u00e0 d\u00e9sassembler statiquement”, a d\u00e9clar\u00e9 Security Joes. m’a dit<\/a> dans un nouveau rapport publi\u00e9 lundi.<\/p>\n

Les intrusions, observ\u00e9es contre des organisations hispanophones et lusophones, se distinguent par la collecte de plus de donn\u00e9es sur les machines des victimes que pr\u00e9c\u00e9demment document\u00e9, le logiciel malveillant pr\u00e9sentant d\u00e9sormais des techniques sophistiqu\u00e9es pour r\u00e9sister \u00e0 l’analyse.<\/p>\n

Raspberry Robin, \u00e9galement appel\u00e9 ver QNAP, est utilis\u00e9 par plusieurs acteurs malveillants comme moyen de s’implanter dans les r\u00e9seaux cibles. Diffus\u00e9 via des cl\u00e9s USB infect\u00e9es et d’autres m\u00e9thodes, le framework a r\u00e9cemment \u00e9t\u00e9 utilis\u00e9 dans des attaques visant les secteurs des t\u00e9l\u00e9communications et du gouvernement.<\/p>\n

Microsoft suit les op\u00e9rateurs de Raspberry Robin sous le nom de DEV-0856.<\/p>\n

L’enqu\u00eate m\u00e9dico-l\u00e9gale de Security Joes sur une telle attaque a r\u00e9v\u00e9l\u00e9 l’utilisation d’un fichier 7-Zip, qui est t\u00e9l\u00e9charg\u00e9 depuis le navigateur de la victime via l’ing\u00e9nierie sociale et contient un fichier d’installation MSI con\u00e7u pour supprimer plusieurs modules.<\/p>\n

\"Ver<\/div>\n

Dans un autre cas, un fichier ZIP aurait \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 par la victime via une publicit\u00e9 frauduleuse h\u00e9berg\u00e9e sur un domaine connu pour distribuer des logiciels publicitaires.<\/p>\n

Le fichier d’archive, stock\u00e9 sur un serveur Discord, contient du code JavaScript cod\u00e9 qui, lors de son ex\u00e9cution, supprime un t\u00e9l\u00e9chargeur prot\u00e9g\u00e9 par de nombreuses couches d’obscurcissement et de cryptage pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n

Le t\u00e9l\u00e9chargeur de shellcode est principalement con\u00e7u pour r\u00e9cup\u00e9rer des ex\u00e9cutables suppl\u00e9mentaires, mais il a \u00e9galement connu des mises \u00e0 niveau importantes qui lui permettent de profiler ses victimes pour fournir des charges utiles appropri\u00e9es, recourant m\u00eame dans certains cas \u00e0 une forme de ruse en servant de faux logiciels malveillants.<\/p>\n

Cela implique la collecte de l’identifiant universel unique de l’h\u00f4te (UUID<\/a>), le nom du processeur, les p\u00e9riph\u00e9riques d’affichage connect\u00e9s et le nombre de minutes \u00e9coul\u00e9es depuis le d\u00e9marrage du syst\u00e8me, ainsi que les informations sur le nom d’h\u00f4te et le nom d’utilisateur recueillies par les anciennes versions du logiciel malveillant.<\/p>\n

Les donn\u00e9es de reconnaissance sont ensuite crypt\u00e9es \u00e0 l’aide d’une cl\u00e9 cod\u00e9e en dur et transmises \u00e0 un serveur de commande et de contr\u00f4le (C2), qui r\u00e9pond avec un binaire Windows qui est ensuite ex\u00e9cut\u00e9 sur la machine.<\/p>\n

“Non seulement nous avons d\u00e9couvert une version du logiciel malveillant qui est plusieurs fois plus complexe, mais nous avons \u00e9galement constat\u00e9 que le balisage C2, qui avait auparavant une URL avec un nom d’utilisateur et un nom d’h\u00f4te en clair, dispose d\u00e9sormais d’une charge utile crypt\u00e9e RC4 robuste”, menace a d\u00e9clar\u00e9 le chercheur Felipe Duarte.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n