Un groupe d’\u00c9tats-nations nord-cor\u00e9en connu pour ses cambriolages cryptographiques a \u00e9t\u00e9 attribu\u00e9 \u00e0 une nouvelle vague d’attaques malveillantes par e-mail dans le cadre d’une activit\u00e9 “tentaculaire” de collecte d’informations d’identification ciblant un certain nombre de secteurs verticaux de l’industrie, marquant un changement significatif dans sa strat\u00e9gie.<\/p>\n
L’acteur mena\u00e7ant align\u00e9 sur l’\u00e9tat est suivi par Proofpoint sous le nom TA444<\/strong>et par la communaut\u00e9 plus large de la cybers\u00e9curit\u00e9 comme APT38, BlueNoroff, Copernicium et Stardust Chollima.<\/p>\n TA444 “utilise une plus grande vari\u00e9t\u00e9 de m\u00e9thodes de livraison et de charges utiles parall\u00e8lement aux leurres li\u00e9s \u00e0 la blockchain, aux fausses opportunit\u00e9s d’emploi dans des entreprises prestigieuses et aux ajustements salariaux pour pi\u00e9ger les victimes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise. m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n La menace persistante avanc\u00e9e est une sorte d’aberration parmi les groupes parrain\u00e9s par l’\u00c9tat dans la mesure o\u00f9 ses op\u00e9rations sont motiv\u00e9es financi\u00e8rement et orient\u00e9es vers la g\u00e9n\u00e9ration de revenus illicites pour le Royaume Ermite.<\/p>\n \u00c0 cette fin, les attaques emploient e-mails d’hame\u00e7onnage<\/a>g\u00e9n\u00e9ralement adapt\u00e9s aux int\u00e9r\u00eats de la victime, qui sont charg\u00e9s de pi\u00e8ces jointes contenant des logiciels malveillants tels que des fichiers LNK et des images de disque optique ISO pour d\u00e9clencher la cha\u00eene d’infection.<\/p>\n Parmi d’autres tactiques, citons l’utilisation de comptes LinkedIn compromis appartenant \u00e0 des dirigeants d’entreprise l\u00e9gitimes pour approcher et interagir avec des cibles avant de fournir des liens pi\u00e9g\u00e9s.<\/p>\n Cependant, des campagnes plus r\u00e9centes au d\u00e9but de d\u00e9cembre 2022 ont \u00e9t\u00e9 t\u00e9moins d’une “d\u00e9viation significative”, dans laquelle les messages de phishing ont incit\u00e9 les destinataires \u00e0 cliquer sur une URL redirig\u00e9e vers une page de collecte d’informations d’identification.<\/p>\n L’explosion d’e-mails ciblait plusieurs secteurs verticaux autres que le secteur financier, notamment l’\u00e9ducation, le gouvernement et les soins de sant\u00e9, aux \u00c9tats-Unis et au Canada.<\/p>\n L’exp\u00e9rimentation mise \u00e0 part, TA444 a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train d’\u00e9tendre la fonctionnalit\u00e9 de CageyChameleon (alias CabbageRAT) pour aider davantage au profilage des victimes, tout en maintenant un large \u00e9ventail arsenal<\/a> d’outils de post-exploitation pour faciliter le vol.<\/p>\n “En 2022, TA444 a port\u00e9 son attention sur les crypto-monnaies \u00e0 un nouveau niveau et a commenc\u00e9 \u00e0 imiter l’\u00e9cosyst\u00e8me de la cybercriminalit\u00e9 en testant une vari\u00e9t\u00e9 de cha\u00eenes d’infection pour aider \u00e0 \u00e9tendre ses sources de revenus”, a d\u00e9clar\u00e9 Proofpoint.<\/p>\n Les d\u00e9couvertes interviennent alors que le Federal Bureau of Investigation (FBI) des \u00c9tats-Unis a accus\u00e9 les acteurs de BlueNoroff d’avoir vol\u00e9 100 millions de dollars en crypto vol\u00e9s \u00e0 Harmony Horizon Bridge en juin 2022.<\/p>\n “Avec une mentalit\u00e9 de startup et une passion pour la crypto-monnaie, TA444 est le fer de lance de la g\u00e9n\u00e9ration de flux de tr\u00e9sorerie nord-cor\u00e9ens pour le r\u00e9gime en apportant des fonds lavables”, a d\u00e9clar\u00e9 Greg Lesnewich de Proofpoint. “Cet acteur de la menace imagine rapidement de nouvelles m\u00e9thodes d’attaque tout en adoptant les m\u00e9dias sociaux dans le cadre de leur [modus operandi].”<\/p>\n Le groupe “reste engag\u00e9 dans ses efforts pour utiliser la crypto-monnaie comme moyen de fournir des fonds utilisables au r\u00e9gime”, a ajout\u00e9 la soci\u00e9t\u00e9.<\/p>\n <\/p>\n