Le groupe de cyberespionnage parrain\u00e9 par l’\u00c9tat russe connu sous le nom de Gamaredon a poursuivi son attaque num\u00e9rique contre l’Ukraine, avec de r\u00e9centes attaques tirant parti de l’application de messagerie populaire Telegram pour frapper les secteurs militaire et des forces de l’ordre dans le pays.<\/p>\n
“L’infrastructure r\u00e9seau du groupe Gamaredon s’appuie sur des comptes Telegram en plusieurs \u00e9tapes pour le profilage des victimes et la confirmation de l’emplacement g\u00e9ographique, puis conduit finalement la victime vers le serveur de la prochaine \u00e9tape pour la charge utile finale”, a d\u00e9clar\u00e9 l’\u00e9quipe BlackBerry Research and Intelligence. m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. “Ce type de technique pour infecter les syst\u00e8mes cibles est nouveau.”<\/p>\n Gamaredon<\/a>\u00e9galement connu sous des noms tels que Actinium, Armageddon, Iron Tilden, Primitive Bear, Shuckworm, Trident Ursa et Winterflounder, est connu pour ses assauts contre des entit\u00e9s ukrainiennes depuis au moins 2013.<\/p>\n Le mois dernier, l’unit\u00e9 42 de Palo Alto Networks a r\u00e9v\u00e9l\u00e9 les tentatives infructueuses de l’acteur mena\u00e7ant de s’introduire dans une soci\u00e9t\u00e9 de raffinage de p\u00e9trole anonyme dans un \u00c9tat membre de l’OTAN au milieu de la guerre russo-ukrainienne.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par l’acteur de la menace ont utilis\u00e9 des documents Microsoft Office l\u00e9gitimes provenant d’organisations gouvernementales ukrainiennes comme leurres dans des e-mails de harponnage pour diffuser des logiciels malveillants capables de r\u00e9colter des informations sensibles.<\/p>\n Ces documents, lorsqu’ils sont ouverts, chargent un mod\u00e8le malveillant \u00e0 partir d’une source distante (une technique appel\u00e9e injection de mod\u00e8le \u00e0 distance), contournant efficacement la n\u00e9cessit\u00e9 d’activer les macros afin de violer les syst\u00e8mes cibles et de propager l’infection.<\/p>\n Les derni\u00e8res d\u00e9couvertes de BlackBerry d\u00e9montrent une \u00e9volution dans la tactique du groupe, dans laquelle un canal Telegram cod\u00e9 en dur est utilis\u00e9 pour r\u00e9cup\u00e9rer l’adresse IP du serveur h\u00e9bergeant le malware. Les adresses IP sont p\u00e9riodiquement tourn\u00e9es pour voler sous le radar.<\/p>\n \u00c0 cette fin, le mod\u00e8le distant est con\u00e7u pour r\u00e9cup\u00e9rer un script VBA, qui d\u00e9pose un fichier VBScript qui se connecte ensuite \u00e0 l’adresse IP sp\u00e9cifi\u00e9e dans le canal Telegram pour r\u00e9cup\u00e9rer l’\u00e9tape suivante – un script PowerShell qui, \u00e0 son tour, atteint \u00e0 une adresse IP diff\u00e9rente pour obtenir un fichier PHP.<\/p>\n Ce fichier PHP est charg\u00e9 de contacter un autre canal Telegram pour r\u00e9cup\u00e9rer une troisi\u00e8me adresse IP contenant la charge utile finale, qui est un logiciel malveillant voleur d’informations qui a \u00e9t\u00e9 pr\u00e9c\u00e9demment r\u00e9v\u00e9l\u00e9 par Cisco Talos en septembre 2022.<\/p>\n Il convient \u00e9galement de souligner que le script VBA fortement obscurci n’est livr\u00e9 que si l’adresse IP de la cible est situ\u00e9e en Ukraine.<\/p>\n “Le groupe de menaces modifie les adresses IP de mani\u00e8re dynamique, ce qui rend encore plus difficile l’automatisation de l’analyse via des techniques de bac \u00e0 sable une fois que l’\u00e9chantillon a vieilli”, a soulign\u00e9 BlackBerry.<\/p>\n “Le fait que les adresses IP suspectes ne changent que pendant les heures de travail en Europe de l’Est sugg\u00e8re fortement que l’acteur de la menace travaille \u00e0 partir d’un seul endroit et appartient tr\u00e8s probablement \u00e0 une cyber-unit\u00e9 offensive qui d\u00e9ploie des op\u00e9rations malveillantes contre l’Ukraine.”<\/p>\n Le d\u00e9veloppement intervient alors que l’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) attribu\u00e9<\/a> un attaque de malware destructrice<\/a> visant l’Agence nationale de presse d’Ukraine au groupe de piratage li\u00e9 \u00e0 la Russie Sandworm.<\/p>\n <\/p>\n