![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEg-t65CPCdOmL4W0GO4ZUeWynZscuox8dEL-_B0ROxpF0Dblk545dxLea1ej68BFNKzJYJFE9WdSwfWrxqLcXAVT4z-K1PtBaPlbh8LbMRs5bqWG0L5XcnCxoqPEhBjSpMLTsJ7SPYycaC91gOKw1pQrpzORxQS3V7ufhq2OjyCN9w6xAUeSyFMxufT\/s728-e365\/malwareee.jpg\")
<\/div>\nUn acteur de la menace jusque-l\u00e0 inconnu cible des entreprises aux \u00c9tats-Unis et en Allemagne avec des logiciels malveillants sur mesure con\u00e7us pour voler des informations confidentielles.<\/p>\n
La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint, qui suit le cluster d’activit\u00e9 sous le nom Temps d’\u00e9cran<\/strong>a d\u00e9clar\u00e9 le groupe, surnomm\u00e9 TA866<\/strong>est probablement motiv\u00e9 financi\u00e8rement.<\/p>\n “TA866 est un acteur organis\u00e9 capable d’effectuer des attaques bien pens\u00e9es \u00e0 grande \u00e9chelle en fonction de la disponibilit\u00e9 d’outils personnalis\u00e9s\u00a0; de la capacit\u00e9 et des connexions pour acheter des outils et des services aupr\u00e8s d’autres fournisseurs\u00a0; et de l’augmentation des volumes d’activit\u00e9”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. \u00e9valu\u00e9<\/a>.<\/p>\n Les campagnes mont\u00e9es par l’adversaire auraient commenc\u00e9 vers le 3 octobre 2022, avec les attaques lanc\u00e9es via des e-mails contenant une pi\u00e8ce jointe pi\u00e9g\u00e9e ou une URL qui m\u00e8ne \u00e0 des logiciels malveillants. Les pi\u00e8ces jointes vont des fichiers Microsoft Publisher contenant des macros aux fichiers PDF avec des URL pointant vers des fichiers JavaScript.<\/p>\n Les intrusions ont \u00e9galement tir\u00e9 parti du d\u00e9tournement de conversation pour inciter les destinataires \u00e0 cliquer sur des URL apparemment anodines qui d\u00e9clenchent une cha\u00eene d’attaque en plusieurs \u00e9tapes.<\/p>\n Quelle que soit la m\u00e9thode utilis\u00e9e, l’ex\u00e9cution du fichier JavaScript t\u00e9l\u00e9charg\u00e9 conduit \u00e0 un programme d’installation MSI qui d\u00e9compresse un VBScript appel\u00e9 WasabiSeed, qui fonctionne comme un outil pour r\u00e9cup\u00e9rer les logiciels malveillants de la prochaine \u00e9tape \u00e0 partir d’un serveur distant.<\/p>\n L’une des charges utiles t\u00e9l\u00e9charg\u00e9es par WasabiSeed est Screenshotter, un utilitaire charg\u00e9 de prendre p\u00e9riodiquement des captures d’\u00e9cran du bureau de la victime et de transmettre ces informations \u00e0 un serveur de commande et de contr\u00f4le (C2).<\/p>\n “Cela est utile \u00e0 l’acteur de la menace pendant la phase de reconnaissance et de profilage des victimes”, a d\u00e9clar\u00e9 le chercheur de Proofpoint, Axel F.<\/p>\n Une phase de reconnaissance r\u00e9ussie est suivie par la distribution de plus de logiciels malveillants pour la post-exploitation, avec des attaques s\u00e9lectionn\u00e9es d\u00e9ployant un bot bas\u00e9 sur AutoHotKey (AHK) pour supprimer un voleur d’informations nomm\u00e9 Rhadamanthys<\/a>. <\/p>\n Proofpoint a d\u00e9clar\u00e9 que les URL utilis\u00e9es dans la campagne impliquaient un syst\u00e8me de direction du trafic (TDS) appel\u00e9 404 TDS, permettant \u00e0 l’adversaire de ne diffuser des logiciels malveillants que dans des sc\u00e9narios o\u00f9 les victimes r\u00e9pondent \u00e0 un ensemble sp\u00e9cifique de crit\u00e8res, tels que la g\u00e9ographie, l’application de navigateur et le syst\u00e8me d’exploitation.<\/p>\n Les origines de TA866 ne sont pas encore claires, bien que des noms et des commentaires de variables en langue russe aient \u00e9t\u00e9 identifi\u00e9s dans le code source d’AHK Bot, dont une variante de 2020 a \u00e9t\u00e9 utilis\u00e9e dans des attaques visant des banques canadiennes et am\u00e9ricaines. Le logiciel malveillant est \u00e9galement soup\u00e7onn\u00e9 d’avoir \u00e9t\u00e9 utilis\u00e9 aussi loin que<\/a> Avril 2019<\/a>.<\/p>\n “L’utilisation de Screenshotter pour collecter des informations sur un h\u00f4te compromis avant de d\u00e9ployer des charges utiles suppl\u00e9mentaires indique que l’acteur de la menace examine manuellement les infections pour identifier les cibles de grande valeur”, a d\u00e9clar\u00e9 Proofpoint.<\/p>\n “Il est important de noter que pour qu’un compromis r\u00e9ussisse, un utilisateur doit cliquer sur un lien malveillant et, s’il est filtr\u00e9 avec succ\u00e8s, interagir avec un fichier JavaScript pour t\u00e9l\u00e9charger et ex\u00e9cuter des charges utiles suppl\u00e9mentaires.”<\/p>\n Les d\u00e9couvertes surviennent au milieu d’un pic d’acteurs de la menace en essayant<\/a> dehors<\/a> de nouvelles fa\u00e7ons<\/a> pour ex\u00e9cuter du code sur les appareils des cibles apr\u00e8s que Microsoft a bloqu\u00e9 les macros par d\u00e9faut dans les fichiers Office t\u00e9l\u00e9charg\u00e9s sur Internet.<\/p>\n Cela inclut l’utilisation de l’empoisonnement de l’optimisation des moteurs de recherche (SEO), de la publicit\u00e9 malveillante et de l’usurpation de marque pour distribuer des logiciels malveillants en regroupant les charges utiles sous forme de logiciels populaires tels que des applications de bureau \u00e0 distance et des plateformes de r\u00e9union en ligne.<\/p>\n En outre, des publicit\u00e9s frauduleuses sur les r\u00e9sultats de recherche Google sont utilis\u00e9es pour rediriger les utilisateurs sans m\u00e9fiance vers des sites Web de phishing frauduleux con\u00e7us pour voler les connexions Amazon Web Services (AWS), selon une nouvelle campagne document\u00e9e par SentinelOne.<\/p>\n “La prolif\u00e9ration d’annonces Google malveillantes menant \u00e0 des sites Web de phishing AWS repr\u00e9sente une menace s\u00e9rieuse non seulement pour les utilisateurs moyens, mais aussi pour les administrateurs r\u00e9seau et cloud”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. a dit<\/a>.<\/p>\n “La facilit\u00e9 avec laquelle ces attaques peuvent \u00eatre lanc\u00e9es, combin\u00e9e \u00e0 l’audience large et diversifi\u00e9e que Google Ads peut atteindre, en fait une menace particuli\u00e8rement puissante.”<\/p>\n Une autre technique qui a connu une augmentation ces derniers mois est l’utilisation abusive de nouveaux formats de fichiers tels que Microsoft OneNote et les documents Publisher pour la diffusion de logiciels malveillants.<\/p>\n Les attaques ne sont pas diff\u00e9rentes de celles utilisant d’autres types de fichiers Office malveillants, dans lesquelles le destinataire de l’e-mail est dup\u00e9 en ouvrant le document et en cliquant sur un faux bouton, ce qui entra\u00eene l’ex\u00e9cution de code HTA int\u00e9gr\u00e9 pour r\u00e9cup\u00e9rer le logiciel malveillant Qakbot.<\/p>\n “Les administrateurs de messagerie ont, au fil des ans, mis en place des r\u00e8gles qui soit emp\u00eachent carr\u00e9ment, soit lancent des avertissements s\u00e9v\u00e8res, sur tous les messages entrants provenant de l’ext\u00e9rieur de l’organisation avec une vari\u00e9t\u00e9 de formats de fichiers abusifs en pi\u00e8ce jointe”, a d\u00e9clar\u00e9 Andrew Brandt, chercheur chez Sophos. a dit<\/a>.<\/p>\n “Il semble probable que les blocs-notes OneNote .one seront le prochain format de fichier \u00e0 se retrouver sur le bloc de coupe des pi\u00e8ces jointes aux e-mails, mais pour l’instant, cela reste un risque persistant.”<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/Des-pirates-ciblant-des-entreprises-americaines-et-allemandes-surveillent-les.png\")
<\/div>\n