Un acteur mena\u00e7ant auparavant sans papiers surnomm\u00e9 Yoro Trooper<\/strong> cible des organisations gouvernementales, \u00e9nerg\u00e9tiques et internationales \u00e0 travers l’Europe dans le cadre d’une campagne de cyberespionnage active depuis au moins juin 2022.<\/p>\n “Les informations vol\u00e9es lors de compromissions r\u00e9ussies incluent les informations d’identification de plusieurs applications, les historiques de navigateur et les cookies, les informations syst\u00e8me et les captures d’\u00e9cran”, ont d\u00e9clar\u00e9 les chercheurs de Cisco Talos, Asheer Malhotra et Vitor Ventura. a dit<\/a> dans une analyse de mardi.<\/p>\n Les principaux pays cibl\u00e9s sont l’Azerba\u00efdjan, le Tadjikistan, le Kirghizistan, le Turkm\u00e9nistan et d’autres pays de la Communaut\u00e9 des \u00c9tats ind\u00e9pendants (CEI).<\/p>\n On pense que l’acteur de la menace est russophone en raison des sch\u00e9mas de victimologie et de la pr\u00e9sence d’extraits cyrilliques dans certains des implants.<\/p>\n Cela dit, il a \u00e9t\u00e9 constat\u00e9 que l’ensemble d’intrusion YoroTroper pr\u00e9sente des chevauchements tactiques avec le L’\u00e9quipe PoetRAT<\/a> qui a \u00e9t\u00e9 document\u00e9 en 2020 comme tirant parti d’app\u00e2ts sur le th\u00e8me des coronavirus pour frapper les secteurs du gouvernement et de l’\u00e9nergie en Azerba\u00efdjan.<\/p>\n Les objectifs de collecte de donn\u00e9es de YoroTrooper sont r\u00e9alis\u00e9s gr\u00e2ce \u00e0 une combinaison de logiciels malveillants voleurs de produits de base et open source tels que Av\u00e9 Maria<\/a> (alias Warzone RAT), LodaRAT, Meterpreter et Puer<\/a>les cha\u00eenes d’infection utilisant des fichiers de raccourcis malveillants (LNK) et des documents leurres envelopp\u00e9s dans des archives ZIP ou RAR qui se propagent par harponnage.<\/p>\n Les fichiers LNK fonctionnent comme de simples t\u00e9l\u00e9chargeurs pour ex\u00e9cuter un Fichier HTA<\/a> r\u00e9cup\u00e9r\u00e9 \u00e0 partir d’un serveur distant, qui est ensuite utilis\u00e9 pour afficher un document PDF leurre, tout en lan\u00e7ant furtivement un compte-gouttes pour fournir un voleur personnalis\u00e9 qui utilise Telegram comme canal d’exfiltration.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n L’utilisation de LodaRAT est remarquable car elle indique que le logiciel malveillant est utilis\u00e9 par plusieurs op\u00e9rateurs malgr\u00e9 son attribution \u00e0 un autre groupe appel\u00e9 Kasablanka, qui a \u00e9galement \u00e9t\u00e9 observ\u00e9. distribuer l’Ave Maria<\/a> dans les r\u00e9centes campagnes ciblant la Russie.<\/p>\n D’autres outils auxiliaires d\u00e9ploy\u00e9s par YoroTrooper consistent en des shells invers\u00e9s et un enregistreur de frappe personnalis\u00e9 bas\u00e9 sur C qui est capable d’enregistrer les frappes au clavier et de les enregistrer dans un fichier sur le disque.<\/p>\n “Il convient de noter que si cette campagne a commenc\u00e9 avec la distribution de logiciels malveillants de base tels que Ave Maria et LodaRAT, elle a consid\u00e9rablement \u00e9volu\u00e9 pour inclure des logiciels malveillants bas\u00e9s sur Python”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Cela met en \u00e9vidence une augmentation des efforts d\u00e9ploy\u00e9s par l’acteur de la menace, probablement d\u00e9riv\u00e9s d’infractions r\u00e9ussies au cours de la campagne.”<\/p>\n <\/p>\n![\"Yoro](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1678891240_529_YoroTrooper-vole-des-informations-didentification-et-des-informations-aupres-dorganisations.png\" "\\"Yoro")
<\/div>\n