Un cadre de commande et de contr\u00f4le (C2) open source connu sous le nom de Havoc est adopt\u00e9 par les acteurs de la menace comme alternative \u00e0 d’autres bo\u00eetes \u00e0 outils l\u00e9gitimes bien connues comme Cobalt Strike, Sliver et Brute Ratel.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Zscaler a d\u00e9clar\u00e9 avoir observ\u00e9 une nouvelle campagne d\u00e9but janvier 2023 ciblant une organisation gouvernementale anonyme qui utilisait Ravage<\/a>.<\/p>\n “Alors que les frameworks C2 sont prolifiques, le framework open source Havoc est un framework avanc\u00e9 de commande et de contr\u00f4le post-exploitation capable de contourner la version la plus r\u00e9cente et la plus mise \u00e0 jour de Windows 11 defender gr\u00e2ce \u00e0 la mise en \u0153uvre de techniques d’\u00e9vasion avanc\u00e9es telles que les appels syst\u00e8me indirects. et l’obscurcissement du sommeil \u00bb, les chercheurs Niraj Shivtarkar et Niraj Shivtarkar a dit<\/a>.<\/p>\n La s\u00e9quence d’attaque document\u00e9e par Zscaler commence par une archive ZIP qui int\u00e8gre un document leurre et un fichier d’\u00e9conomiseur d’\u00e9cran con\u00e7u pour t\u00e9l\u00e9charger et lancer l’agent Havoc Demon sur l’h\u00f4te infect\u00e9.<\/p>\n Demon est l’implant g\u00e9n\u00e9r\u00e9 via le framework Havoc et est analogue au Beacon fourni via Cobalt Strike pour obtenir un acc\u00e8s persistant et distribuer des charges utiles malveillantes.<\/p>\n Il est \u00e9galement livr\u00e9 avec une grande vari\u00e9t\u00e9 de fonctionnalit\u00e9s qui le rendent difficile \u00e0 d\u00e9tecter, ce qui en fait un outil lucratif entre les mains des acteurs de la menace, m\u00eame si les fournisseurs de cybers\u00e9curit\u00e9 sont repoussant<\/a> contre l’abus de ces logiciels l\u00e9gitimes de l’\u00e9quipe rouge.<\/p>\n “Une fois le d\u00e9mon d\u00e9ploy\u00e9 avec succ\u00e8s sur la machine cible, le serveur est capable d’ex\u00e9cuter diverses commandes sur le syst\u00e8me cible”, ont d\u00e9clar\u00e9 les chercheurs, indiquant que le serveur enregistre la commande et sa r\u00e9ponse lors de l’ex\u00e9cution. Les r\u00e9sultats sont ensuite crypt\u00e9s et retransmis au serveur C2.<\/p>\n Havoc a \u00e9galement \u00e9t\u00e9 utilis\u00e9 en relation avec un module npm frauduleux appel\u00e9 aabquerys qui, une fois install\u00e9, d\u00e9clenche un processus en trois \u00e9tapes pour r\u00e9cup\u00e9rer l’implant Demon. Le colis a depuis \u00e9t\u00e9 retir\u00e9.<\/p>\n <\/p>\n![\"Cadre](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgkdOZn3xXmfDK6lE6-Zhj_1F2E6mOj-E4BsoRdccg6Av_uizdXUhpvFz5k_afpM2y7TSDKUty-dJKPaPYRpW7oOgtJN2QsKhuZbt16F2XVxL9dvVacTDCBvbKkUGEHoQSH77BCeqv1pUHQ5LKqVCIbLGTcBs6YL_uLwvIHiF1cUQ4hv_r1qoWISVYV\/s728-e3650\/z.png\" "\\"Cadre")
<\/div>\n