Un acteur mena\u00e7ant li\u00e9 \u00e0 la Russie a \u00e9t\u00e9 observ\u00e9 en train de d\u00e9ployer un nouveau logiciel malveillant voleur d’informations dans des cyberattaques ciblant l’Ukraine.<\/p>\n
Doubl\u00e9 Graphiron <\/b>par Symantec, propri\u00e9t\u00e9 de Broadcom, le logiciel malveillant est l’\u0153uvre d’un groupe d’espionnage connu sous le nom de Nodaria<\/strong>qui est suivi par l’\u00e9quipe ukrainienne d’intervention d’urgence informatique (CERT-UA) sous le num\u00e9ro UAC-0056.<\/p>\n “Le logiciel malveillant est \u00e9crit en Go et est con\u00e7u pour collecter un large \u00e9ventail d’informations \u00e0 partir de l’ordinateur infect\u00e9, y compris des informations syst\u00e8me, des informations d’identification, des captures d’\u00e9cran et des fichiers”, a d\u00e9clar\u00e9 l’\u00e9quipe Symantec Threat Hunter. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Nodaria \u00e9tait mis en lumi\u00e8re pour la premi\u00e8re fois<\/a> par le CERT-UA en janvier 2022, attirant l’attention sur l’utilisation par l’adversaire de Logiciels malveillants SaintBot et OutSteel<\/a> dans des attaques de harponnage ciblant des entit\u00e9s gouvernementales.<\/p>\n Le groupe, qui serait actif depuis au moins avril 2021, a depuis \u00e0 plusieurs reprises<\/a> d\u00e9ploy\u00e9<\/a> portes d\u00e9rob\u00e9es personnalis\u00e9es telles que GraphSteel et GrimPlant<\/a> dans diverses campagnes depuis l’invasion militaire de l’Ukraine par la Russie. Certaines intrusions ont \u00e9galement entra\u00een\u00e9 la livraison de Balise de frappe cobalt<\/a> pour la post-exploitation.<\/p>\n Graphiron, le dernier programme ajout\u00e9 \u00e0 l’arsenal du groupe, est une version am\u00e9lior\u00e9e de GraphSteel, int\u00e9grant des fonctionnalit\u00e9s permettant d’ex\u00e9cuter des commandes shell et de collecter des informations syst\u00e8me, des fichiers, des informations d’identification, des captures d’\u00e9cran et des cl\u00e9s SSH.<\/p>\n Un autre aspect notable est que si GraphSteel et GrimPlant utilisaient la version 1.16 de Go, Graphiron s’appuie sur la version 1.18, qui officiellement exp\u00e9di\u00e9<\/a> en mars 2022. Cela sugg\u00e8re \u00e9galement que Graphiron est un d\u00e9veloppement plus r\u00e9cent.<\/p>\n De plus, une analyse des cha\u00eenes d’infection r\u00e9v\u00e8le la pr\u00e9sence de deux \u00e9tapes, un t\u00e9l\u00e9chargeur qui est charg\u00e9 de r\u00e9cup\u00e9rer une charge utile crypt\u00e9e contenant le malware Graphiron \u00e0 partir d’un serveur distant.<\/p>\n Avec les derni\u00e8res d\u00e9couvertes, Nodaria rejoint un autre groupe parrain\u00e9 par l’\u00c9tat russe appel\u00e9 Gamaredon pour cibler largement l’Ukraine.<\/p>\n “Alors que Nodaria \u00e9tait relativement inconnu avant l’invasion russe de l’Ukraine, l’activit\u00e9 de haut niveau du groupe au cours de l’ann\u00e9e \u00e9coul\u00e9e sugg\u00e8re qu’il est d\u00e9sormais l’un des acteurs cl\u00e9s des cybercampagnes en cours de la Russie contre l’Ukraine”, a d\u00e9clar\u00e9 Symantec.<\/p>\n <\/p>\n