Des entit\u00e9s en Arm\u00e9nie ont subi une cyberattaque en utilisant une version mise \u00e0 jour d’une porte d\u00e9rob\u00e9e appel\u00e9e OxtaRAT<\/strong> qui permet l’acc\u00e8s \u00e0 distance et la surveillance du bureau.<\/p>\n “Les capacit\u00e9s de l’outil incluent la recherche et l’exfiltration de fichiers de la machine infect\u00e9e, l’enregistrement de la vid\u00e9o \u00e0 partir de la cam\u00e9ra Web et du bureau, le contr\u00f4le \u00e0 distance de la machine compromise avec TightVNC, l’installation d’un shell Web, l’analyse des ports, etc.”, Check Point Research a dit<\/a> dans un rapport.<\/p>\n La derni\u00e8re campagne aurait commenc\u00e9 en novembre 2022 et marque la premi\u00e8re fois que les acteurs de la menace derri\u00e8re l’activit\u00e9 ont \u00e9tendu leur champ d’action au-del\u00e0 de l’Azerba\u00efdjan.<\/p>\n “Les acteurs de la menace derri\u00e8re ces attaques ciblent les organisations de d\u00e9fense des droits de l’homme, les dissidents et les m\u00e9dias ind\u00e9pendants en Azerba\u00efdjan depuis plusieurs ann\u00e9es”, a not\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, appelant la campagne Operation Silent Watch.<\/p>\n Les intrusions de fin 2022 sont importantes, notamment en raison des changements dans la cha\u00eene d’infection, des mesures prises pour am\u00e9liorer la s\u00e9curit\u00e9 op\u00e9rationnelle et \u00e9quiper la porte d\u00e9rob\u00e9e de plus de munitions.<\/p>\n Le point de d\u00e9part de la s\u00e9quence d’attaque est une archive auto-extractible qui imite un fichier PDF et porte une ic\u00f4ne PDF. Le lancement du pr\u00e9tendu “document” ouvre un fichier leurre tout en ex\u00e9cutant furtivement un code malveillant cach\u00e9 dans une image.<\/p>\n Un fichier polyglotte qui combine un script AutoIT compil\u00e9 et une image, OxtaRAT propose des commandes qui permettent \u00e0 l’auteur de la menace d’ex\u00e9cuter des commandes et des fichiers suppl\u00e9mentaires, de r\u00e9colter des informations sensibles, d’effectuer une reconnaissance et une surveillance via une cam\u00e9ra Web, et m\u00eame de pivoter vers d’autres. <\/p>\n OxtaRAT a \u00e9t\u00e9 mettre \u00e0 profit<\/a> par le adversaire<\/a> d\u00e8s juin 2021, bien qu’avec des fonctionnalit\u00e9s consid\u00e9rablement r\u00e9duites, ce qui indique une tentative de mettre \u00e0 jour constamment son ensemble d’outils et de le transformer en un malware de couteau suisse.<\/p>\n L’attaque de novembre 2022 se d\u00e9marque \u00e9galement pour un certain nombre de raisons. La premi\u00e8re est que les fichiers .SCR qui activent la cha\u00eene de destruction contiennent d\u00e9j\u00e0 l’implant OxtaRAT au lieu d’agir comme un t\u00e9l\u00e9chargeur pour r\u00e9cup\u00e9rer le malware.<\/p>\n “Cela \u00e9vite aux acteurs d’avoir \u00e0 faire des demandes suppl\u00e9mentaires de fichiers binaires au serveur C&C et d’attirer une attention inutile, tout en emp\u00eachant le principal logiciel malveillant d’\u00eatre facilement d\u00e9couvert sur la machine infect\u00e9e, car il ressemble \u00e0 une image normale et contourne les sp\u00e9cificit\u00e9s de type. protections \u00bb, a expliqu\u00e9 Check Point.<\/p>\n Le deuxi\u00e8me aspect frappant est le g\u00e9orep\u00e9rage des domaines de commande et de contr\u00f4le (C2) qui h\u00e9bergent les outils auxiliaires des adresses IP arm\u00e9niennes.<\/p>\n Il convient \u00e9galement de noter la capacit\u00e9 d’OxtaRAT \u00e0 ex\u00e9cuter des commandes pour l’analyse des ports et \u00e0 tester la vitesse d’une connexion Internet, cette derni\u00e8re \u00e9tant probablement utilis\u00e9e comme un moyen de masquer l’exfiltration “\u00e9tendue” des donn\u00e9es.<\/p>\n “OxtaRAT, qui disposait auparavant principalement de capacit\u00e9s de reconnaissance et de surveillance locales, peut d\u00e9sormais \u00eatre utilis\u00e9 comme pivot pour la reconnaissance active d’autres appareils”, a d\u00e9clar\u00e9 Check Point.<\/p>\n “Cela peut indiquer que les acteurs de la menace se pr\u00e9parent \u00e0 \u00e9tendre leur principal vecteur d’attaque, qui est actuellement l’ing\u00e9nierie sociale, aux attaques bas\u00e9es sur les infrastructures. Cela pourrait \u00e9galement \u00eatre un signe que les acteurs passent du ciblage des individus au ciblage d’environnements plus complexes ou d’entreprise. .”<\/p>\n “Les acteurs de la menace sous-jacente ont maintenu le d\u00e9veloppement de logiciels malveillants bas\u00e9s sur Auto-IT au cours des sept derni\u00e8res ann\u00e9es et les utilisent dans des campagnes de surveillance dont les cibles sont compatibles avec les int\u00e9r\u00eats azerba\u00efdjanais.”<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676639068_314_Entites-armeniennes-touchees-par-la-nouvelle-version-de-loutil-despionnage.png\")
<\/div>\n