Rose fonc\u00e9<\/strong> et a attribu\u00e9 sept attaques r\u00e9ussies au collectif contradictoire entre juin et d\u00e9cembre 2022.<\/p>\nLa majeure partie des attaques ont cibl\u00e9 des organismes militaires, des minist\u00e8res et des agences gouvernementales, ainsi que des organisations religieuses et \u00e0 but non lucratif au Cambodge, en Indon\u00e9sie, en Malaisie, aux Philippines, au Vietnam et en Bosnie-Herz\u00e9govine, avec une intrusion infructueuse signal\u00e9e contre un \u00c9tat europ\u00e9en anonyme. organisme bas\u00e9 au Vietnam.<\/p>\n
On estime que l’acteur mena\u00e7ant a commenc\u00e9 ses op\u00e9rations au milieu de 2021, bien que les attaques se soient intensifi\u00e9es seulement un an plus tard \u00e0 l’aide d’une bo\u00eete \u00e0 outils personnalis\u00e9e in\u00e9dite con\u00e7ue pour piller des informations pr\u00e9cieuses sur des r\u00e9seaux compromis.<\/p>\n
“Les principaux objectifs de Dark Pink APT sont de mener de l’espionnage d’entreprise, de voler des documents, de capturer le son des microphones des appareils infect\u00e9s et d’exfiltrer les donn\u00e9es des messagers”, a d\u00e9clar\u00e9 Andrey Polovinkin, chercheur au Group-IB, d\u00e9crivant l’activit\u00e9 comme une “campagne APT tr\u00e8s complexe”. lanc\u00e9 par des acteurs chevronn\u00e9s de la menace.”<\/p>\n
En plus de son arsenal sophistiqu\u00e9 de logiciels malveillants, le groupe a \u00e9t\u00e9 observ\u00e9 en train d’utiliser des e-mails de harponnage pour lancer ses attaques ainsi que l’API Telegram pour les communications de commande et de contr\u00f4le (C2).<\/p>\n
Il convient \u00e9galement de noter l’utilisation d’un seul compte GitHub pour h\u00e9berger des modules malveillants et qui est actif depuis mai 2021, ce qui sugg\u00e8re que Dark Pink a pu fonctionner sans \u00eatre d\u00e9tect\u00e9 pendant plus d’un an et demi.<\/p>\n
La campagne Dark Pink se distingue en outre par l’utilisation de plusieurs cha\u00eenes d’infection, dans lesquelles les messages de phishing contiennent un lien vers un fichier image ISO pi\u00e9g\u00e9 pour activer le processus de d\u00e9ploiement de logiciels malveillants. Dans un cas, l’adversaire s’est fait passer pour un candidat postulant \u00e0 un stage en relations publiques.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673431645_941_Le-groupe-APT-rose-fonce-cible-les-gouvernements-et-les.png\")
<\/div>\n
On soup\u00e7onne \u00e9galement que l’\u00e9quipe de piratage navigue sur les sites d’emploi afin d’adapter ses messages et d’augmenter les chances de succ\u00e8s de ses attaques d’ing\u00e9nierie sociale.<\/p>\n
L’objectif ultime est de d\u00e9ployer TelePowerBot et KamiKakaBot, qui sont capables d’ex\u00e9cuter des commandes envoy\u00e9es via un bot Telegram contr\u00f4l\u00e9 par un acteur, en plus d’utiliser des outils sur mesure comme Ctealer et Cucky pour siphonner les informations d’identification et les cookies des navigateurs Web.<\/p>\n
Alors que Ctealer est \u00e9crit en C\/C++, Cucky est un programme .NET. Un autre malware personnalis\u00e9 est ZMsg, une application bas\u00e9e sur .NET qui permet \u00e0 Dark Pink de r\u00e9colter les messages envoy\u00e9s via des applications de messagerie telles que Telegram, Viver et Zalo.<\/p>\n
Une autre cha\u00eene de mise \u00e0 mort identifi\u00e9e par Group-IB utilise un document leurre inclus dans le fichier ISO pour r\u00e9cup\u00e9rer un mod\u00e8le malveillant compatible avec les macros de GitHub, qui, \u00e0 son tour, h\u00e9berge TelePowerBot, un logiciel malveillant de script PowerShell. <\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673431645_104_Le-groupe-APT-rose-fonce-cible-les-gouvernements-et-les.png\")
<\/div>\n
Ce n’est pas tout. Une troisi\u00e8me m\u00e9thode rep\u00e9r\u00e9e r\u00e9cemment en d\u00e9cembre 2022 voit le lancement de KamiKakaBot, une version .NET de TelePowerBot, \u00e0 l’aide d’un fichier XML contenant un projet MSBuild qui se trouve \u00e0 la fin d’un document Word en vue crypt\u00e9e. Le fichier Word est pr\u00e9sent dans une image ISO envoy\u00e9e \u00e0 la victime dans un e-mail de harponnage.<\/p>\n
“Les acteurs de la menace \u00e0 l’origine de cette vague d’attaques ont pu concevoir leurs outils dans plusieurs langages de programmation, ce qui leur a donn\u00e9 de la flexibilit\u00e9 alors qu’ils tentaient de p\u00e9n\u00e9trer dans l’infrastructure de d\u00e9fense et de gagner en persistance sur les r\u00e9seaux des victimes”, a expliqu\u00e9 Polovinkin.<\/p>\n
Un compromis r\u00e9ussi est suivi d’activit\u00e9s de reconnaissance, de d\u00e9placement lat\u00e9ral et d’exfiltration de donn\u00e9es, l’acteur utilisant \u00e9galement Dropbox et le courrier \u00e9lectronique dans certains cas pour transmettre des fichiers d’int\u00e9r\u00eat. Un module PowerSploit accessible au public est \u00e9galement utilis\u00e9 pour enregistrer l’audio du microphone sur les appareils, parall\u00e8lement \u00e0 l’ex\u00e9cution de commandes pour infecter les disques USB connect\u00e9s afin de propager le logiciel malveillant.<\/p>\n
“L’utilisation d’une bo\u00eete \u00e0 outils presque enti\u00e8rement personnalis\u00e9e, des techniques d’\u00e9vasion avanc\u00e9es, la capacit\u00e9 des acteurs de la menace \u00e0 retravailler leurs logiciels malveillants pour assurer une efficacit\u00e9 maximale et le profil des organisations cibl\u00e9es d\u00e9montrent la menace que repr\u00e9sente ce groupe particulier”, a d\u00e9clar\u00e9 Polovinkin.<\/p>\n
<\/p>\n