{"id":645637,"date":"2023-03-10T07:00:56","date_gmt":"2023-03-10T09:00:56","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-pirates-nord-coreens-unc2970-etendent-leurs-operations-avec-de-nouvelles-familles-de-logiciels-malveillants\/"},"modified":"2023-03-10T07:00:58","modified_gmt":"2023-03-10T09:00:58","slug":"les-pirates-nord-coreens-unc2970-etendent-leurs-operations-avec-de-nouvelles-familles-de-logiciels-malveillants","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-pirates-nord-coreens-unc2970-etendent-leurs-operations-avec-de-nouvelles-familles-de-logiciels-malveillants\/","title":{"rendered":"Les pirates nord-cor\u00e9ens UNC2970 \u00e9tendent leurs op\u00e9rations avec de nouvelles familles de logiciels malveillants"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>10 mars 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cyberattaque\/malware<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Un groupe d’espionnage nord-cor\u00e9en suivi comme UNC2970<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’employer des familles de logiciels malveillants auparavant non document\u00e9s dans le cadre d’une campagne de harponnage ciblant les organisations m\u00e9diatiques et technologiques am\u00e9ricaines et europ\u00e9ennes depuis juin 2022.<\/p>\n

Mandiant, propri\u00e9t\u00e9 de Google, a d\u00e9clar\u00e9 que le cluster de menaces partageait “de multiples chevauchements” avec une op\u00e9ration de longue dur\u00e9e appel\u00e9e “Dream Job” qui utilise des leurres de recrutement d’emplois dans les messages \u00e9lectroniques pour d\u00e9clencher la s\u00e9quence d’infection.<\/p>\n

UNC2970 est le nouveau surnom d\u00e9sign\u00e9 par la soci\u00e9t\u00e9 de renseignement sur les menaces pour un ensemble d’activit\u00e9s cybern\u00e9tiques nord-cor\u00e9ennes qui correspondent \u00e0 UNC577 (alias Temp. Ermite<\/b>), et qui comprend \u00e9galement un autre groupe de menaces naissant suivi sous le nom UNC4034.<\/p>\n

L’activit\u00e9 UNC4034, telle que document\u00e9e par Mandiant en septembre 2022, impliquait l’utilisation de WhatsApp pour ing\u00e9nierie sociale des cibles en t\u00e9l\u00e9chargeant une porte d\u00e9rob\u00e9e appel\u00e9e AIRDRY.V2 sous pr\u00e9texte de partager un test d’\u00e9valuation des comp\u00e9tences.<\/p>\n

“UNC2970 a un effort concert\u00e9 vers l’obscurcissement et utilise plusieurs m\u00e9thodes pour le faire tout au long de la cha\u00eene de livraison et d’ex\u00e9cution”, ont d\u00e9clar\u00e9 les chercheurs de Mandiant dans un d\u00e9taill\u00e9<\/a> en deux parties<\/a> analyse, en ajoutant l’effort sp\u00e9cifiquement cibl\u00e9 sur les chercheurs en s\u00e9curit\u00e9.<\/p>\n

Temp.Hermit est l’une des principales unit\u00e9s de piratage associ\u00e9es au Bureau g\u00e9n\u00e9ral de reconnaissance (RGB) de la Cor\u00e9e du Nord aux c\u00f4t\u00e9s d’Andariel et d’APT38 (alias BlueNoroff). Les trois ensembles d’acteurs sont collectivement appel\u00e9s les Groupe Lazare<\/a> (alias Cobra Cach\u00e9 ou Zinc).<\/p>\n

“TEMP.Hermit est un acteur qui existe depuis au moins 2013”, a d\u00e9clar\u00e9 Mandiant. indiqu\u00e9<\/a> dans un rapport de mars 2022. “Leurs op\u00e9rations depuis lors sont repr\u00e9sentatives des efforts de Pyongyang pour collecter des renseignements strat\u00e9giques au profit des int\u00e9r\u00eats nord-cor\u00e9ens.”<\/p>\n

La derni\u00e8re s\u00e9rie d’attaques UNC2970 se caract\u00e9rise par l’approche initiale des utilisateurs directement sur LinkedIn en utilisant de faux comptes “bien con\u00e7us et organis\u00e9s par des professionnels” se faisant passer pour des recruteurs.<\/p>\n

La conversation est ensuite transf\u00e9r\u00e9e vers WhatsApp, apr\u00e8s quoi une charge utile de phishing est livr\u00e9e \u00e0 la cible sous le couvert d’une description de poste.<\/p>\n

\"\"<\/div>\n

Dans certains cas, il a \u00e9t\u00e9 observ\u00e9 que ces cha\u00eenes d’attaques d\u00e9ployaient des versions trojanis\u00e9es de TightVNC (nomm\u00e9es LIDSHIFT), con\u00e7ues pour charger une charge utile de la prochaine \u00e9tape appel\u00e9e LIDSHOT, capable de t\u00e9l\u00e9charger et d’ex\u00e9cuter du shellcode \u00e0 partir d’un serveur distant.<\/p>\n

L’\u00e9tablissement d’un pied dans des environnements compromis est r\u00e9alis\u00e9 au moyen d’une porte d\u00e9rob\u00e9e bas\u00e9e sur C++ connue sous le nom de PLANKWALK qui ouvre ensuite la voie \u00e0 la distribution d’outils suppl\u00e9mentaires tels que –<\/p>\n