{"id":552015,"date":"2023-01-10T16:47:25","date_gmt":"2023-01-10T18:47:25","guid":{"rendered":"https:\/\/teknomers.com\/fr\/strongpity-hackers-distribue-une-application-de-telegramme-infectee-par-un-cheval-de-troie-pour-cibler-les-utilisateurs-dandroid\/"},"modified":"2023-01-10T16:47:27","modified_gmt":"2023-01-10T18:47:27","slug":"strongpity-hackers-distribue-une-application-de-telegramme-infectee-par-un-cheval-de-troie-pour-cibler-les-utilisateurs-dandroid","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/strongpity-hackers-distribue-une-application-de-telegramme-infectee-par-un-cheval-de-troie-pour-cibler-les-utilisateurs-dandroid\/","title":{"rendered":"StrongPity Hackers distribue une application de t\u00e9l\u00e9gramme infect\u00e9e par un cheval de Troie pour cibler les utilisateurs d’Android"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>10 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Menace persistante avanc\u00e9e<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Le groupe APT (Advanced Persistent Threat) connu sous le nom de Dommage fort<\/strong> a cibl\u00e9 les utilisateurs d’Android avec une version cheval de Troie de l’application Telegram via un faux site Web qui se fait passer pour un service de chat vid\u00e9o appel\u00e9 Shagle<\/b>.<\/p>\n

“Un site Web copieur, imitant le service Shagle, est utilis\u00e9 pour distribuer l’application de porte d\u00e9rob\u00e9e mobile de StrongPity”, a d\u00e9clar\u00e9 Luk\u00e1\u0161 \u0160tefanko, chercheur sur les logiciels malveillants chez ESET. m’a dit<\/a> dans un rapport technique. “L’application est une version modifi\u00e9e de l’application open source Telegram, reconditionn\u00e9e avec le code de porte d\u00e9rob\u00e9e StrongPity.”<\/p>\n

StrongPity, \u00e9galement connu sous les noms APT-C-41 et Promethium, est un groupe de cyberespionnage actif depuis au moins 2012, avec une majorit\u00e9 de ses op\u00e9rations concentr\u00e9es sur la Syrie et la Turquie. L’existence du groupe a \u00e9t\u00e9 annonc\u00e9e publiquement pour la premi\u00e8re fois par Kaspersky en octobre 2016.<\/p>\n

L’acteur de la menace campagnes<\/a> se sont depuis \u00e9tendus pour englober davantage de cibles en Afrique, en Asie, en Europe et en Am\u00e9rique du Nord, les intrusions tirant parti des attaques de point d’eau et des messages de phishing pour activer la killchain.<\/p>\n

L’une des principales caract\u00e9ristiques de StrongPity est son utilisation de sites Web contrefaits qui pr\u00e9tendent offrir une grande vari\u00e9t\u00e9 d’outils logiciels, uniquement pour inciter les victimes \u00e0 t\u00e9l\u00e9charger des versions contamin\u00e9es d’applications l\u00e9gitimes.<\/p>\n

En d\u00e9cembre 2021, Minerva Labs divulgu\u00e9<\/a> une s\u00e9quence d’attaque en trois \u00e9tapes r\u00e9sultant de l’ex\u00e9cution d’un fichier de configuration Notepad ++ apparemment b\u00e9nin pour finalement fournir une porte d\u00e9rob\u00e9e aux h\u00f4tes infect\u00e9s.<\/p>\n

Cette m\u00eame ann\u00e9e, StrongPity \u00e9tait observ\u00e9<\/a> d\u00e9ployer un logiciel malveillant Android pour la premi\u00e8re fois en s’introduisant \u00e9ventuellement dans le portail e-gouvernement syrien et en rempla\u00e7ant le fichier APK officiel d’Android par un homologue escroc.<\/p>\n

\"\"<\/div>\n

Les derni\u00e8res d\u00e9couvertes d’ESET mettent en \u00e9vidence un mode op\u00e9ratoire similaire con\u00e7u pour distribuer une version mise \u00e0 jour de la charge utile de la porte d\u00e9rob\u00e9e Android, qui est \u00e9quip\u00e9e pour enregistrer les appels t\u00e9l\u00e9phoniques, suivre l’emplacement des appareils et collecter les messages SMS, les journaux d’appels, les listes de contacts et les fichiers.<\/p>\n

De plus, l’octroi d’autorisations aux services d’accessibilit\u00e9 des logiciels malveillants lui permet de siphonner les notifications et les messages entrants de diverses applications telles que Gmail, Instagram, Kik, LINE, Messenger, Skype, Snapchat, Telegram, Tinder, Twitter, Viber et WeChat.<\/p>\n

\"\"<\/div>\n

La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9crit l’implant comme modulaire et capable de t\u00e9l\u00e9charger des composants suppl\u00e9mentaires \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2) \u00e0 distance afin de r\u00e9pondre aux objectifs \u00e9volutifs des campagnes de StrongPity.<\/p>\n

La fonctionnalit\u00e9 de porte d\u00e9rob\u00e9e est dissimul\u00e9e dans une version l\u00e9gitime de l’application Android de Telegram qui \u00e9tait disponible en t\u00e9l\u00e9chargement vers le 25 f\u00e9vrier 2022. Cela dit, le faux site Web Shagle n’est plus actif, bien qu’il semble que l’activit\u00e9 soit “tr\u00e8s \u00e9troitement cibl\u00e9e” en raison de le manque de donn\u00e9es t\u00e9l\u00e9m\u00e9triques.<\/p>\n

Il n’y a \u00e9galement aucune preuve que l’application a \u00e9t\u00e9 publi\u00e9e sur le Google Play Store officiel. On ne sait pas actuellement comment les victimes potentielles sont attir\u00e9es vers le faux site Web et si cela implique des techniques telles que l’ing\u00e9nierie sociale, l’empoisonnement des moteurs de recherche ou les publicit\u00e9s frauduleuses.<\/p>\n

Il n’y a \u00e9galement aucune preuve que l’application (“vid\u00e9o.apk<\/a>“) a \u00e9t\u00e9 publi\u00e9 sur le Google Play Store officiel. On ne sait pas actuellement comment les victimes potentielles sont attir\u00e9es vers le faux site Web, et si cela implique des techniques telles que l’ing\u00e9nierie sociale, l’empoisonnement des moteurs de recherche ou les publicit\u00e9s frauduleuses.<\/p>\n

“Le domaine malveillant a \u00e9t\u00e9 enregistr\u00e9 le m\u00eame jour, de sorte que le site imitateur et la fausse application Shagle sont peut-\u00eatre disponibles au t\u00e9l\u00e9chargement depuis cette date”, a soulign\u00e9 \u0160tefanko.<\/p>\n

Un autre aspect notable de l’attaque est que la version falsifi\u00e9e de Telegram utilise le m\u00eame nom de package que l’application Telegram authentique, ce qui signifie que la variante d\u00e9rob\u00e9e ne peut pas \u00eatre install\u00e9e sur un appareil sur lequel Telegram est d\u00e9j\u00e0 install\u00e9.<\/p>\n

“Cela peut signifier l’une des deux choses suivantes\u00a0: soit l’acteur de la menace communique d’abord avec les victimes potentielles et les pousse \u00e0 d\u00e9sinstaller Telegram de leurs appareils s’il est install\u00e9, soit la campagne se concentre sur les pays o\u00f9 l’utilisation de Telegram est rare pour la communication”, a d\u00e9clar\u00e9 \u0160tefanko.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n