Un acteur mena\u00e7ant auparavant inconnu surnomm\u00e9 Actualit\u00e9sPingouin<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne de phishing ciblant des entit\u00e9s pakistanaises en tirant parti de la prochaine exposition maritime internationale comme leurre.<\/p>\n “L’attaquant a envoy\u00e9 des e-mails de phishing cibl\u00e9s avec un document arm\u00e9 en pi\u00e8ce jointe qui pr\u00e9tend \u00eatre un manuel de l’exposant pour PIMEC-23”, a d\u00e9clar\u00e9 l’\u00e9quipe BlackBerry Research and Intelligence. a dit<\/a>.<\/p>\n PIMEC<\/b>abr\u00e9viation de Pakistan International Maritime Expo and Conference, est un initiative<\/a> de la marine pakistanaise et est organis\u00e9 par le minist\u00e8re des Affaires maritimes dans le but de “lancer le d\u00e9veloppement du secteur maritime”. Il devrait se tenir du 10 au 12 f\u00e9vrier 2023.<\/p>\n La soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les attaques sont con\u00e7ues pour cibler des entit\u00e9s li\u00e9es \u00e0 la marine et les visiteurs de l’\u00e9v\u00e9nement en incitant les destinataires du message \u00e0 ouvrir le document Microsoft Word apparemment inoffensif.<\/p>\n Une fois le document lanc\u00e9, une m\u00e9thode appel\u00e9e injection de mod\u00e8le \u00e0 distance<\/a> est utilis\u00e9 pour r\u00e9cup\u00e9rer la charge utile de l’\u00e9tape suivante \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un acteur qui est configur\u00e9 pour renvoyer l’artefact uniquement si la demande est envoy\u00e9e \u00e0 partir d’une adresse IP situ\u00e9e au Pakistan.<\/p>\n BlackBerry a d\u00e9clar\u00e9 avoir d\u00e9couvert que le serveur h\u00e9bergeait deux fichiers d’archive ZIP sans aucune protection par mot de passe, dont l’un comprend un ex\u00e9cutable Windows (updates.exe) qui fonctionne comme un outil d’espionnage secret capable de contourner les bacs \u00e0 sable et les machines virtuelles.<\/p>\n De plus, le contenu du binaire est chiffr\u00e9 avec le Cryptage XOR<\/a> algorithme, o\u00f9 la cl\u00e9 XOR est “pingouin”. La r\u00e9ponse HTTP contenant la porte d\u00e9rob\u00e9e est \u00e9galement fournie avec le param\u00e8tre name dans le En-t\u00eate de r\u00e9ponse Content-Disposition<\/a> d\u00e9fini sur “getlatestnews”.<\/p>\n Le nom NewsPenguin fait r\u00e9f\u00e9rence \u00e0 la cl\u00e9 XOR peu commune et au param\u00e8tre de nom, BlackBerry ne trouvant aucun chevauchement tactique qui relie le malware \u00e0 un acteur ou groupe de menace actuellement connu.<\/p>\n Une analyse du domaine h\u00e9bergeant les charges utiles montre qu’il est enregistr\u00e9 depuis le 30 juin 2022, indiquant un certain niveau de planification pr\u00e9alable pour la campagne tout en prenant simultan\u00e9ment des mesures pour it\u00e9rer son ensemble d’outils.<\/p>\n “Comme la cible est un \u00e9v\u00e9nement organis\u00e9 par la marine pakistanaise, cela implique que l’acteur de la menace cible activement les organisations gouvernementales, plut\u00f4t que d’\u00eatre une attaque \u00e0 motivation financi\u00e8re”, a d\u00e9clar\u00e9 BlackBerry.<\/p>\n <\/p>\n![\"Actualit\u00e9sPingouin\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjbpcWIcB_XA8HGT4BDb-BeyZk7lUr2kI0283uMKRcK33Nh-st5O0UfZSNKMFVa5-8CKe4_kjRDCEoEMAtn_sdWSvjdCWmXaXVM3XqCv5HoI181V8PC-6j7EDoP06FH47a04WCMxHlMUvk-x8VPqExT0PDknQvab7nmyXN11wvoaJnwAvp6GfcCw5Q5\/s728-e3650\/expo.png\" "\\"Actualit\u00e9sPingouin\\"\/")
<\/div>\n