Des acteurs pr\u00e9sum\u00e9s de la menace russe ciblent les utilisateurs d’Europe de l’Est dans l’industrie de la cryptographie avec de fausses opportunit\u00e9s d’emploi comme app\u00e2t pour installer des logiciels malveillants voleurs d’informations sur des h\u00f4tes compromis.<\/p>\n
Les attaquants “utilisent plusieurs chargeurs personnalis\u00e9s hautement obscurcis et en cours de d\u00e9veloppement afin d’infecter les personnes impliqu\u00e9es dans l’industrie de la crypto-monnaie avec le voleur Enigma”, ont d\u00e9clar\u00e9 les chercheurs de Trend Micro, Aliakbar Zahravi et Peter Girnus. a dit<\/a> dans un rapport cette semaine.<\/p>\n Enigma serait une version modifi\u00e9e de Stealerium, un malware open source bas\u00e9 sur C # qui agit comme un voleur, un clipper et un enregistreur de frappe.<\/p>\n Le parcours d’infection complexe commence par un fichier d’archive RAR malveillant distribu\u00e9 via des plateformes de phishing ou de r\u00e9seaux sociaux. Il contient deux documents, dont l’un est un fichier .TXT qui comprend un ensemble d’exemples de questions d’entretien li\u00e9es \u00e0 la crypto-monnaie.<\/p>\n Le deuxi\u00e8me fichier est un document Microsoft Word qui, tout en servant de leurre, est charg\u00e9 de lancer le chargeur Enigma de premi\u00e8re \u00e9tape, qui, \u00e0 son tour, t\u00e9l\u00e9charge et ex\u00e9cute une charge utile de deuxi\u00e8me \u00e9tape obfusqu\u00e9e via Telegram.<\/p>\n “Pour t\u00e9l\u00e9charger la charge utile de l’\u00e9tape suivante, le logiciel malveillant envoie d’abord une demande au canal Telegram contr\u00f4l\u00e9 par l’attaquant […] pour obtenir le chemin du fichier”, ont d\u00e9clar\u00e9 les chercheurs. “Cette approche permet \u00e0 l’attaquant de mettre \u00e0 jour en permanence et \u00e9limine la d\u00e9pendance \u00e0 l’\u00e9gard des noms de fichiers fixes.”<\/p>\n Le t\u00e9l\u00e9chargeur de deuxi\u00e8me \u00e9tape, qui est ex\u00e9cut\u00e9 avec des privil\u00e8ges \u00e9lev\u00e9s, est con\u00e7u pour d\u00e9sactiver Microsoft Defender et installer une troisi\u00e8me \u00e9tape en d\u00e9ployant un pilote Intel en mode noyau l\u00e9gitimement sign\u00e9 qui est vuln\u00e9rable \u00e0 CVE-2015-2291 dans un technique<\/a> appel\u00e9<\/a> Apportez votre propre conducteur vuln\u00e9rable<\/a> (BYOVD<\/a>).<\/p>\n Il convient de noter que la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a ajout\u00e9 la vuln\u00e9rabilit\u00e9 \u00e0 son catalogue de vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV), citant des preuves d’exploitation active dans la nature.<\/p>\n La charge utile de troisi\u00e8me \u00e9tape ouvre finalement la voie au t\u00e9l\u00e9chargement d’Enigma Stealer \u00e0 partir d’une cha\u00eene Telegram contr\u00f4l\u00e9e par des acteurs. Le logiciel malveillant, comme les autres voleurs, est dot\u00e9 de fonctionnalit\u00e9s permettant de collecter des informations sensibles, d’enregistrer des frappes au clavier et de capturer des captures d’\u00e9cran, qui sont toutes exfiltr\u00e9es au moyen de Telegram.<\/p>\n Les fausses offres d’emploi sont une tactique \u00e9prouv\u00e9e employ\u00e9e par le groupe Lazarus, soutenu par la Cor\u00e9e du Nord, dans ses attaques visant le secteur de la cryptographie. L’adoption de ce modus operandi par les acteurs de la menace russe “d\u00e9montre un vecteur d’attaque persistant et lucratif”.<\/p>\n Les r\u00e9sultats viennent comme Uptycs lib\u00e9r\u00e9<\/a> les d\u00e9tails d’une campagne d’attaque qui exploite le logiciel malveillant Stealerium pour siphonner des donn\u00e9es personnelles, y compris des informations d’identification pour des portefeuilles de crypto-monnaie tels que Armory, Atomic Wallet, Coinomi, Electrum, Exodus, Guarda, Jaxx Liberty et Zcash, entre autres.<\/p>\n Rejoindre Enigma Stealer et Stealerium dans le ciblage des portefeuilles de crypto-monnaie est encore un autre malware surnomm\u00e9 Voleur de vecteur<\/a> qui vient \u00e9galement avec des capacit\u00e9s pour voler des fichiers .RDP, permettant aux acteurs de la menace d’effectuer un piratage RDP pour un acc\u00e8s \u00e0 distance, a d\u00e9clar\u00e9 Cyble dans un article technique.<\/p>\n Les cha\u00eenes d’attaque document\u00e9es par les entreprises de cybers\u00e9curit\u00e9 montrent que les familles de logiciels malveillants sont transmises via des pi\u00e8ces jointes Microsoft Office contenant des macros malveillantes, ce qui sugg\u00e8re que les malfaiteurs s’appuient toujours sur la m\u00e9thode malgr\u00e9 les tentatives de Microsoft pour combler la faille.<\/p>\n Une m\u00e9thode similaire a \u00e9galement \u00e9t\u00e9 utilis\u00e9e pour d\u00e9ployer un crypto-mineur Monero dans le contexte d’une campagne de cryptojacking et de phishing visant les utilisateurs espagnols, selon Laboratoires Fortinet FortiGuard<\/a>.<\/p>\n Le d\u00e9veloppement est \u00e9galement le dernier d’une longue liste d’attaques visant \u00e0 voler les actifs de crypto-monnaie des victimes sur toutes les plateformes.<\/p>\n Cela comprend un cheval de Troie bancaire Android “en \u00e9volution rapide” appel\u00e9 TgToxic, qui pille les informations d’identification et les fonds des portefeuilles cryptographiques ainsi que des applications bancaires et financi\u00e8res. La campagne de logiciels malveillants en cours, active depuis juillet 2022, est dirig\u00e9e contre les utilisateurs mobiles \u00e0 Ta\u00efwan, en Tha\u00eflande et en Indon\u00e9sie.<\/p>\n “Lorsque la victime t\u00e9l\u00e9charge la fausse application \u00e0 partir du site Web fourni par l’acteur de la menace, ou si la victime essaie d’envoyer un message direct \u00e0 l’acteur de la menace via des applications de messagerie telles que WhatsApp ou Viber, le cybercriminel trompe l’utilisateur pour qu’il s’enregistre, installe le malware , et en activant les autorisations dont il a besoin”, Trend Micro a dit<\/a>.<\/p>\n Les applications malveillantes, en plus d’abuser des services d’accessibilit\u00e9 d’Android pour effectuer des transferts de fonds non autoris\u00e9s, sont \u00e9galement remarquables pour tirer parti de cadres d’automatisation l\u00e9gitimes comme Easyclick et Auto.js pour effectuer des clics et des gestes, ce qui en fait le deuxi\u00e8me malware Android apr\u00e8s PixPirate \u00e0 incorporer de tels IDE de flux de travail.<\/p>\n Mais les campagnes d’ing\u00e9nierie sociale sont \u00e9galement all\u00e9es au-del\u00e0 du phishing et du smishing sur les r\u00e9seaux sociaux en cr\u00e9ant des pages de destination convaincantes qui imitent les services de cryptographie populaires dans le but de transf\u00e9rer Ethereum et NFT des portefeuilles pirat\u00e9s.<\/p>\n Ceci, selon Recorded Future, est r\u00e9alis\u00e9 en injectant un script de drain crypto dans la page de phishing qui incite les victimes \u00e0 connecter leurs portefeuilles avec des offres lucratives pour cr\u00e9er des jetons non fongibles (NFT).<\/p>\n Ces pages de phishing pr\u00eates \u00e0 l’emploi sont vendues sur les forums darknet dans le cadre de ce qu’on appelle un sch\u00e9ma de phishing-as-a-service (PhaaS), permettant \u00e0 d’autres acteurs de louer ces packages et de mettre rapidement en \u0153uvre des op\u00e9rations malveillantes \u00e0 grande \u00e9chelle.<\/p>\n “Les ‘Crypto drainers’ sont des scripts malveillants qui fonctionnent comme des e-skimmers et sont d\u00e9ploy\u00e9s avec des techniques de phishing pour voler les actifs cryptographiques des victimes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re, d\u00e9crivant les escroqueries comme efficaces et de plus en plus populaires.<\/p>\n “L’utilisation de services l\u00e9gitimes sur les pages de phishing crypto drainer peut augmenter la probabilit\u00e9 que la page de phishing r\u00e9ussisse le” test d\u00e9cisif d’escroquerie “d’un utilisateur par ailleurs avis\u00e9”. Une fois que les portefeuilles cryptographiques ont \u00e9t\u00e9 compromis, aucune garantie n’existe pour emp\u00eacher le transfert illicite d’actifs vers les portefeuilles des attaquants.”<\/p>\n Les agressions surviennent \u00e0 un moment o\u00f9 des groupes criminels ont vol\u00e9 un record de 3,8 milliards de dollars \u00e0 des entreprises de cryptographie en 2022, une grande partie du pic \u00e9tant attribu\u00e9e aux \u00e9quipes de piratage parrain\u00e9es par l’\u00c9tat nord-cor\u00e9en.<\/p>\n <\/p>\n![\"Utilisateurs](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhdTbYoD6ZNzcbH1cykOh_73kXl1WAS46naHQmGJ3hIncPLGQUCcwmkRAMmjj_kfNXgQ9bxrKJrD8YKaF-kXbcWn5Mgf-S5F1GSHUCm83-8yPsQWknI45ILXHYyyr_VgP9EOK-SjHe3wIii1Hg9C7p2CxVAmLpMwIUkbPpDQKuFr7bDgs12GytTZcpC\/s728-e3650\/map.png\" "\\"Utilisateurs")
<\/div>\n![\"Uptycs\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676122906_316_Enigma-Vector-et-TgToxic-les-nouvelles-menaces-pour-les-utilisateurs.png\" "\\"Uptycs\\"\/")
<\/div>\n![\"Mineur](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiVPfIDz2gpdXWUBbgL_1WVnHzGAocVdX8hC7SBmHFHWFWjnd_3U53raa2EZo0tWs3sIUy3tqd03fZPrPvrgxHi1_Ei0t0HlZwlCioOPFf7TgEvIN8VdfLuv5QTfWAEbKf9vHXO038WtoducgksQssG-b6TNoUcwGpEmcRUlWcis50Rf0rjp3AM3O33\/s728-e3650\/miner.png\" "\\"Mineur")
<\/div>\n