Aux \u00c9tats-Unis, au moins deux agences f\u00e9d\u00e9rales ont \u00e9t\u00e9 victimes d’une \u00ab cybercampagne g\u00e9n\u00e9ralis\u00e9e \u00bb qui impliquait l’utilisation d’un logiciel l\u00e9gitime de surveillance et de gestion \u00e0 distance (RMM) pour perp\u00e9tuer une escroquerie par hame\u00e7onnage.<\/p>\n
“Plus pr\u00e9cis\u00e9ment, les cybercriminels ont envoy\u00e9 des e-mails de phishing qui ont conduit au t\u00e9l\u00e9chargement de logiciels RMM l\u00e9gitimes – ScreenConnect (maintenant ConnectWise Control) et AnyDesk – que les acteurs ont utilis\u00e9s dans une escroquerie de remboursement pour voler de l’argent sur les comptes bancaires des victimes”, ont d\u00e9clar\u00e9 les autorit\u00e9s am\u00e9ricaines de cybers\u00e9curit\u00e9. m’a dit<\/a>.<\/p>\n L’avis conjoint provient de la Cybersecurity and Infrastructure Security Agency (CISA), de la National Security Agency (NSA) et du Multi-State Information Sharing and Analysis Center (MS-ISAC).<\/p>\n Les attaques, qui ont eu lieu \u00e0 la mi-juin et \u00e0 la mi-septembre 2022, ont des motivations financi\u00e8res, bien que les acteurs de la menace puissent militariser l’acc\u00e8s non autoris\u00e9 pour mener un large \u00e9ventail d’activit\u00e9s, y compris la vente de cet acc\u00e8s \u00e0 d’autres \u00e9quipes de piratage.<\/p>\n L’utilisation de logiciels distants par des groupes criminels est depuis longtemps une pr\u00e9occupation car elle offre une voie efficace pour \u00e9tablir l’acc\u00e8s des utilisateurs locaux sur un h\u00f4te sans avoir besoin d’\u00e9lever les privil\u00e8ges ou d’obtenir un pied par d’autres moyens.<\/p>\n Dans un cas, les acteurs de la menace ont envoy\u00e9 un e-mail de phishing contenant un num\u00e9ro de t\u00e9l\u00e9phone \u00e0 l’adresse e-mail gouvernementale d’un employ\u00e9, invitant l’individu \u00e0 acc\u00e9der \u00e0 un domaine malveillant. Les e-mails, a d\u00e9clar\u00e9 la CISA, font partie d’attaques d’ing\u00e9nierie sociale sur le th\u00e8me du service d’assistance orchestr\u00e9es par les acteurs de la menace depuis au moins juin 2022 ciblant les employ\u00e9s f\u00e9d\u00e9raux.<\/p>\n Les missives li\u00e9es \u00e0 l’abonnement contiennent soit un domaine escroc de “premi\u00e8re \u00e9tape”, soit s’engagent dans une tactique connue sous le nom de phishing de rappel pour inciter les destinataires \u00e0 appeler un num\u00e9ro de t\u00e9l\u00e9phone contr\u00f4l\u00e9 par un acteur pour visiter le m\u00eame domaine.<\/p>\n Quelle que soit l’approche utilis\u00e9e, le domaine malveillant d\u00e9clenche le t\u00e9l\u00e9chargement d’un binaire qui se connecte ensuite \u00e0 un domaine de second \u00e9tage pour r\u00e9cup\u00e9rer le logiciel RMM sous forme d’ex\u00e9cutables portables.<\/p>\n L’objectif final est de tirer parti du logiciel RMM pour lancer une arnaque au remboursement. Ceci est r\u00e9alis\u00e9 en demandant aux victimes de se connecter \u00e0 leurs comptes bancaires, apr\u00e8s quoi les acteurs modifient le r\u00e9sum\u00e9 du compte bancaire pour donner l’impression que l’individu a \u00e9t\u00e9 rembours\u00e9 par erreur d’une somme d’argent exc\u00e9dentaire.<\/p>\n Dans la derni\u00e8re \u00e9tape, les op\u00e9rateurs d’escroquerie exhortent les destinataires des e-mails \u00e0 rembourser le montant suppl\u00e9mentaire, les escroquant ainsi de leurs fonds.<\/p>\n La CISA a attribu\u00e9 l’activit\u00e9 \u00e0 une “grande op\u00e9ration de cheval de Troie” divulgu\u00e9<\/a> par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Silent Push en octobre 2022. Cela dit, des m\u00e9thodes similaires de diffusion d’attaques par t\u00e9l\u00e9phone ont \u00e9t\u00e9 adopt\u00e9es par d’autres acteurs, dont Luna Moth (alias Silent Ransom).<\/p>\n “Cette campagne met en \u00e9vidence la menace d’une cyberactivit\u00e9 malveillante associ\u00e9e \u00e0 un logiciel RMM l\u00e9gitime\u00a0: apr\u00e8s avoir obtenu l’acc\u00e8s au r\u00e9seau cible via le phishing ou d’autres techniques, les cyberacteurs malveillants – des cybercriminels aux APT parrain\u00e9s par l’\u00c9tat national – sont connus pour utiliser un logiciel RMM l\u00e9gitime comme une porte d\u00e9rob\u00e9e pour la persistance et\/ou le commandement et le contr\u00f4le (C2)”, ont averti les agences.<\/p>\n <\/p>\n