m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\nLa soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les parts d’activit\u00e9 chevauchent un cluster de menaces suivi par Group-IB sous le nom d’OPERA1ER, qui a men\u00e9 des dizaines d’attaques visant des banques, des services financiers et des soci\u00e9t\u00e9s de t\u00e9l\u00e9communications en Afrique, en Asie et en Am\u00e9rique latine entre 2018 et 2022.<\/p>\n
L’attribution d\u00e9coule des similitudes dans l’ensemble d’outils utilis\u00e9s, l’infrastructure d’attaque, l’absence de logiciels malveillants sur mesure et le ciblage des pays francophones d’Afrique. Trois institutions financi\u00e8res anonymes diff\u00e9rentes dans trois pays africains ont \u00e9t\u00e9 viol\u00e9es, bien que l’on ne sache pas si Bluebottle a r\u00e9ussi \u00e0 mon\u00e9tiser les attaques.<\/p>\n
L’adversaire financi\u00e8rement motiv\u00e9, \u00e9galement connu sous le nom de DESKTOP-GROUP, a \u00e9t\u00e9 responsable d’une s\u00e9rie de cambriolages totalisant 11 millions de dollars, avec des dommages r\u00e9els atteignant 30 millions de dollars.<\/p>\n
Les attaques r\u00e9centes illustrent l’\u00e9volution des tactiques du groupe, notamment l’utilisation d’un logiciel malveillant pr\u00eat \u00e0 l’emploi nomm\u00e9 GuLoader dans les premi\u00e8res \u00e9tapes de la cha\u00eene d’infection ainsi que la militarisation des pilotes du noyau pour d\u00e9sactiver les d\u00e9fenses de s\u00e9curit\u00e9.<\/p>\n
Symantec a d\u00e9clar\u00e9 qu’il ne pouvait pas retracer le vecteur d’intrusion initial, bien qu’il ait d\u00e9tect\u00e9 des fichiers sur le th\u00e8me de l’emploi sur les r\u00e9seaux victimes, indiquant que l’embauche de leurres de phishing li\u00e9s \u00e0 l’embauche \u00e9tait probablement utilis\u00e9e pour inciter les cibles \u00e0 ouvrir des pi\u00e8ces jointes malveillantes.<\/p>\n
De plus, une attaque d\u00e9tect\u00e9e \u00e0 la mi-mai 2022 impliquait la livraison d’un malware voleur d’informations sous la forme d’un fichier ZIP contenant un fichier d’\u00e9conomiseur d’\u00e9cran ex\u00e9cutable (.SCR). En juillet 2022, on a \u00e9galement observ\u00e9 l’utilisation d’un fichier d’image de disque optique (.ISO), qui a \u00e9t\u00e9 utilis\u00e9 par de nombreux acteurs malveillants comme moyen de distribuer des logiciels malveillants.<\/p>\n
“Si les acteurs Bluebottle et OPERA1ER ne font qu’un, cela signifierait qu’ils ont \u00e9chang\u00e9 leurs techniques d’infection entre mai et juillet 2022”, notent les chercheurs.<\/p>\n
Les pi\u00e8ces jointes de harponnage ont conduit au d\u00e9ploiement de GuLoader, qui agit ensuite comme un conduit pour d\u00e9poser des charges utiles suppl\u00e9mentaires sur la machine, telles que Netwire, Quasar RAT et Cobalt Strike Beacon. Le mouvement lat\u00e9ral est facilit\u00e9 gr\u00e2ce \u00e0 des outils comme PsExec et SharpHound.<\/p>\n
Une autre technique adopt\u00e9e par le groupe est l’utilisation de pilotes sign\u00e9s pour mettre fin au logiciel de s\u00e9curit\u00e9, une m\u00e9thode qui a \u00e9t\u00e9 utilis\u00e9e par plusieurs \u00e9quipes de piratage \u00e0 des fins similaires, selon les conclusions de Mandiant, SentinelOne et Sophos le mois dernier.<\/p>\n
Les acteurs de la menace \u00e9tant soup\u00e7onn\u00e9s d’\u00eatre francophones, il est probable que les attaques pourraient s’\u00e9tendre \u00e0 d’autres pays francophones \u00e0 travers le monde, a averti la soci\u00e9t\u00e9.<\/p>\n
“L’efficacit\u00e9 de ses campagnes signifie qu’il est peu probable que Bluebottle arr\u00eate cette activit\u00e9”, ont d\u00e9clar\u00e9 les chercheurs. “Il semble \u00eatre tr\u00e8s concentr\u00e9 sur les pays francophones d’Afrique, les institutions financi\u00e8res de ces pays doivent donc rester en \u00e9tat d’alerte.”<\/p>\n
<\/p>\n