L’acteur mena\u00e7ant li\u00e9 \u00e0 la Cor\u00e9e du Nord suivi comme APT37<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 un nouveau logiciel malveillant appel\u00e9 M2RAT<\/strong> dans des attaques visant son homologue du sud, sugg\u00e9rant une \u00e9volution continue des caract\u00e9ristiques et des tactiques du groupe.<\/p>\n APT37, \u00e9galement suivi sous les noms de Reaper, RedEyes, Ricochet Chollima et ScarCruft, est li\u00e9 au minist\u00e8re de la S\u00e9curit\u00e9 d’\u00c9tat (MSS) de la Cor\u00e9e du Nord, contrairement aux groupes de menaces Lazarus et Kimsuky qui font partie du Reconnaissance General Bureau (RGB).<\/p>\n Selon Mandiant, propri\u00e9t\u00e9 de Google, MSS est charg\u00e9 des “activit\u00e9s de contre-espionnage national et de contre-espionnage \u00e0 l’\u00e9tranger”, les campagnes d’attaque d’APT37 refl\u00e9tant les priorit\u00e9s de l’agence. Les op\u00e9rations ont historiquement cibl\u00e9 des individus tels que des transfuges et des militants des droits de l’homme.<\/p>\n “La mission principale \u00e9valu\u00e9e d’APT37 est la collecte secr\u00e8te de renseignements \u00e0 l’appui des int\u00e9r\u00eats militaires, politiques et \u00e9conomiques strat\u00e9giques de la RPDC”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces. a dit<\/a>.<\/p>\n L’auteur de la menace est connu pour s’appuyer sur des outils personnalis\u00e9s tels que Chinotto, RokRat, BLUELIGHT, GOLDBACKDOOR et Dolphin pour r\u00e9colter des informations sensibles \u00e0 partir d’h\u00f4tes compromis.<\/p>\n “La principale caract\u00e9ristique de ce cas d’attaque du groupe RedEyes est qu’il a utilis\u00e9 une vuln\u00e9rabilit\u00e9 Hangul EPS et utilis\u00e9 des techniques de st\u00e9ganographie pour distribuer des codes malveillants”, AhnLab Security Emergency Response Center (ASEC) a dit<\/a> dans un rapport publi\u00e9 mardi.<\/p>\n La cha\u00eene d’infection observ\u00e9e en janvier 2023 commence par un document leurre Hangul, qui exploite une faille d\u00e9sormais corrig\u00e9e dans le logiciel de traitement de texte (CVE-2017-8291<\/a>) pour d\u00e9clencher un shellcode qui t\u00e9l\u00e9charge une image depuis un serveur distant.<\/p>\n Le fichier JPEG utilise des techniques st\u00e9ganographiques pour dissimuler un ex\u00e9cutable portable qui, une fois lanc\u00e9, t\u00e9l\u00e9charge l’implant M2RAT et l’injecte dans le processus l\u00e9gitime explorer.exe.<\/p>\n Alors que la persistance est obtenue au moyen d’une modification du registre Windows, M2RAT fonctionne comme une porte d\u00e9rob\u00e9e capable d’enregistrer des frappes, de capturer des \u00e9crans, d’ex\u00e9cuter des processus et de voler des informations. Comme Dolphin, il est \u00e9galement con\u00e7u pour siphonner les donn\u00e9es des disques amovibles et des smartphones connect\u00e9s.<\/p>\n “Il est tr\u00e8s difficile de se d\u00e9fendre contre ces attaques APT, et le groupe RedEyes en particulier est connu pour cibler principalement les individus, il peut donc \u00eatre difficile pour les personnes non morales de m\u00eame reconna\u00eetre les dommages”, a d\u00e9clar\u00e9 l’ASEC.<\/p>\n Ce n’est pas la premi\u00e8re fois que CVE-2017-8291 est militaris\u00e9 par des acteurs nord-cor\u00e9ens. Fin 2017, le groupe Lazarus a \u00e9t\u00e9 observ\u00e9 ciblant les \u00e9changes de crypto-monnaie sud-cor\u00e9ens et les utilisateurs pour d\u00e9ployer le malware Destover, selon Avenir enregistr\u00e9<\/a>.<\/p>\n <\/p>\n![\"Cor\u00e9e](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676482284_390_LAPT37-de-la-Coree-du-Nord-cible-son-homologue-du.png\" "\\"Cor\u00e9e")
<\/div>\n