Le Sandworm affili\u00e9 \u00e0 la Russie a utilis\u00e9 une autre souche de malware d’essuie-glace surnomm\u00e9e NikoEssuie-glace<\/strong> dans le cadre d’une attaque ayant eu lieu en octobre 2022 visant une entreprise du secteur de l’\u00e9nergie en Ukraine.<\/p>\n “Le NikoWiper est bas\u00e9 sur SSupprimer<\/a>un utilitaire de ligne de commande de Microsoft utilis\u00e9 pour supprimer des fichiers en toute s\u00e9curit\u00e9 \u00bb, soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 ESET r\u00e9v\u00e9l\u00e9<\/a> dans son dernier rapport d’activit\u00e9 APT partag\u00e9 avec The Hacker News.<\/p>\n La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les attaques avaient co\u00efncid\u00e9 avec frappes de missiles<\/a> orchestr\u00e9e par les forces arm\u00e9es russes visant l’infrastructure \u00e9nerg\u00e9tique ukrainienne, sugg\u00e9rant des chevauchements d’objectifs.<\/p>\n La divulgation intervient quelques jours seulement apr\u00e8s qu’ESET a attribu\u00e9 Sandworm \u00e0 un essuie-glace de donn\u00e9es bas\u00e9 sur Golang appel\u00e9 SwiftSlicer qui a \u00e9t\u00e9 d\u00e9ploy\u00e9 contre une entit\u00e9 ukrainienne anonyme le 25 janvier 2023.<\/p>\n Le groupe de menace persistante avanc\u00e9e (APT) li\u00e9 \u00e0 l’agence de renseignement militaire \u00e9trang\u00e8re russe GRU a \u00e9galement \u00e9t\u00e9 impliqu\u00e9 dans une attaque partiellement r\u00e9ussie visant l’agence de presse nationale Ukrinform, d\u00e9ployant jusqu’\u00e0 cinq essuie-glaces diff\u00e9rents sur des machines compromises.<\/p>\n L’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a identifi\u00e9 les cinq variantes d’essuie-glace comme CaddyWiper, ZeroWipe, SDelete, AwfulShred et BidSwipe. Les trois premiers de ces syst\u00e8mes Windows cibl\u00e9s, tandis qu’AwfulShred et BidSwipe visaient les syst\u00e8mes Linux et FreeBSD.<\/p>\n L’utilisation de SDelete est remarquable, car elle sugg\u00e8re que Sandworm a exp\u00e9riment\u00e9 l’utilitaire comme essuie-glace dans au moins deux cas diff\u00e9rents pour causer des dommages irr\u00e9vocables aux organisations cibl\u00e9es en Ukraine.<\/p>\n Cela dit, Robert Lipovsky, chercheur sur les logiciels malveillants chez ESET, a d\u00e9clar\u00e9 \u00e0 The Hacker News que “NikoWiper est un logiciel malveillant diff\u00e9rent”.<\/p>\n Outre la militarisation de SDelete, les r\u00e9centes campagnes de Sandworm ont \u00e9galement exploit\u00e9 des familles de ransomwares sur mesure, notamment Prestige et RansomBoggs, pour verrouiller les donn\u00e9es des victimes derri\u00e8re des barri\u00e8res de cryptage sans aucune possibilit\u00e9 de les r\u00e9cup\u00e9rer.<\/p>\n Ces efforts sont la derni\u00e8re indication que l’utilisation de logiciels malveillants destructeurs d’essuie-glace est \u00e0 la hausse et est de plus en plus adopt\u00e9e comme cyber-arme de choix par les \u00e9quipes de piratage russes.<\/p>\n “Les essuie-glaces n’ont pas \u00e9t\u00e9 largement utilis\u00e9s car ce sont des armes cibl\u00e9es”, a d\u00e9clar\u00e9 Dmitry Bestuzhev de BlackBerry \u00e0 The Hacker News dans un communiqu\u00e9. “Sandworm travaille activement au d\u00e9veloppement de familles d’essuie-glaces et de ran\u00e7ongiciels utilis\u00e9s explicitement pour l’Ukraine.”<\/p>\n Il n’y a pas que Sandworm, car d’autres entreprises parrain\u00e9es par l’\u00c9tat russe telles que APT29, Callisto et Gamaredon se sont engag\u00e9es dans des efforts parall\u00e8les pour paralyser l’infrastructure ukrainienne via des campagnes de phishing con\u00e7ues pour faciliter l’acc\u00e8s par des portes d\u00e9rob\u00e9es et le vol d’identifiants.<\/p>\n Selon Recorded Future, qui suit APT29 (alias Nobelium) sous le nom de BlueBravo, l’APT a \u00e9t\u00e9 connect\u00e9 \u00e0 une nouvelle infrastructure compromise qui est probablement utilis\u00e9e comme leurre pour fournir un chargeur de logiciels malveillants nomm\u00e9 GraphicalNeutrino.<\/p>\n Le chargeur, dont la fonction principale est de fournir des logiciels malveillants de suivi, abuse de l’API de Notion pour les communications de commande et de contr\u00f4le (C2) ainsi que de la fonction de base de donn\u00e9es de la plate-forme pour stocker les informations sur les victimes et pr\u00e9parer les charges utiles \u00e0 t\u00e9l\u00e9charger.<\/p>\n “Tous les pays ayant un lien avec la crise ukrainienne, en particulier ceux qui entretiennent des relations g\u00e9opolitiques, \u00e9conomiques ou militaires cl\u00e9s avec la Russie ou l’Ukraine, courent un risque accru d’\u00eatre cibl\u00e9s”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. m’a dit<\/a> dans un rapport technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n Le passage \u00e0 Notion, une application de prise de notes l\u00e9gitime, souligne “l’utilisation \u00e9largie mais continue” par APT29 de services logiciels populaires tels que Dropbox, Google Drive et Trello pour m\u00e9langer le trafic de logiciels malveillants et contourner la d\u00e9tection.<\/p>\n Bien qu’aucun logiciel malveillant de deuxi\u00e8me \u00e9tape n’ait \u00e9t\u00e9 d\u00e9tect\u00e9, ESET – qui a \u00e9galement trouv\u00e9 un \u00e9chantillon du logiciel malveillant en octobre 2022 – a \u00e9mis l’hypoth\u00e8se qu’il “visait \u00e0 r\u00e9cup\u00e9rer et \u00e0 ex\u00e9cuter Cobalt Strike”.<\/p>\n