Le groupe de cyberespionnage russe connu sous le nom de Tourla<\/b> a \u00e9t\u00e9 observ\u00e9 en train de se greffer sur l’infrastructure d’attaque utilis\u00e9e par un logiciel malveillant vieux de dix ans pour fournir ses propres outils de reconnaissance et de porte d\u00e9rob\u00e9e \u00e0 des cibles en Ukraine.<\/p>\n
Mandiant, propri\u00e9t\u00e9 de Google, qui suit l’op\u00e9ration sous le nom de cluster non cat\u00e9goris\u00e9 UNC4210<\/strong>a d\u00e9clar\u00e9 que les serveurs pirat\u00e9s correspondent \u00e0 une variante d’un malware de base appel\u00e9 ANDROMEDA (alias Gamarue) qui a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 sur VirusTotal en 2013.<\/p>\n “UNC4210 a r\u00e9enregistr\u00e9 au moins trois domaines de commande et de contr\u00f4le (C2) ANDROMEDA expir\u00e9s et a commenc\u00e9 \u00e0 profiler les victimes pour d\u00e9ployer s\u00e9lectivement KOPILUWAK et QUIETCANARY en septembre 2022”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant. m’a dit<\/a> dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n Turla, \u00e9galement connue sous les noms de Iron Hunter, Krypton, Uroburos, Venomous Bear et Waterbug, est une \u00e9quipe d’\u00c9tat-nation d’\u00e9lite qui cible principalement les organisations gouvernementales, diplomatiques et militaires \u00e0 l’aide d’un large \u00e9ventail de logiciels malveillants personnalis\u00e9s.<\/p>\n Depuis le d\u00e9but de l’invasion militaire russe de l’Ukraine en f\u00e9vrier 2022, le collectif contradictoire a \u00e9t\u00e9 li\u00e9 \u00e0 une s\u00e9rie d’efforts de phishing et de reconnaissance des informations d’identification visant des entit\u00e9s situ\u00e9es dans le pays.<\/p>\n En juillet 2022, le groupe d’analyse des menaces (TAG) de Google a r\u00e9v\u00e9l\u00e9 que Turla avait cr\u00e9\u00e9 une application Android malveillante pour soi-disant “aider” les hacktivistes pro-ukrainiens \u00e0 lancer des attaques par d\u00e9ni de service distribu\u00e9 (DDoS) contre des sites russes.<\/p>\n La derni\u00e8re d\u00e9couverte de Mandiant montre que Turla a coopt\u00e9 furtivement d’anciennes infections comme m\u00e9canisme de distribution de logiciels malveillants, sans parler du fait qu’ANDROMEDA se propage via des cl\u00e9s USB infect\u00e9es.<\/p>\n “Les logiciels malveillants de propagation USB continuent d’\u00eatre un vecteur utile pour obtenir un acc\u00e8s initial aux organisations”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces.<\/p>\n Dans l’incident analys\u00e9 par Mandiant, une cl\u00e9 USB infect\u00e9e aurait \u00e9t\u00e9 ins\u00e9r\u00e9e dans une organisation ukrainienne anonyme en d\u00e9cembre 2021, conduisant finalement au d\u00e9ploiement d’un h\u00e9ritage ANDROMEDA artefact<\/a> sur l’h\u00f4te lors du lancement d’un fichier de lien malveillant (.LNK) se faisant passer pour un dossier dans la cl\u00e9 USB.<\/p>\n L’acteur mena\u00e7ant a ensuite r\u00e9affect\u00e9 l’un des domaines inactifs qui faisaient partie de la d\u00e9funte infrastructure C2 d’ANDROMEDA – qu’il a r\u00e9enregistr\u00e9 en janvier 2022 – pour profiler la victime en fournissant la premi\u00e8re \u00e9tape KOPI LUWAK<\/a> dropper, un utilitaire de reconnaissance de r\u00e9seau bas\u00e9 sur JavaScript.<\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673163987_744_Les-hackers-russes-de-Turla-detournent-une-infrastructure-de-logiciels.png\")
<\/div>\n