La menace persistante avanc\u00e9e connue sous le nom de Viverne d’hiver<\/strong> est li\u00e9 \u00e0 des campagnes ciblant des responsables gouvernementaux en Inde, en Lituanie, en Slovaquie et au Vatican depuis 2021.<\/p>\n L’activit\u00e9 visait des agences gouvernementales polonaises, le minist\u00e8re ukrainien des Affaires \u00e9trang\u00e8res, le minist\u00e8re italien des Affaires \u00e9trang\u00e8res et des individus au sein du gouvernement indien, a d\u00e9clar\u00e9 SentinelOne dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Le ciblage par l’APT d’entreprises priv\u00e9es, y compris les organisations de t\u00e9l\u00e9communications qui soutiennent l’Ukraine dans la guerre en cours, est particuli\u00e8rement int\u00e9ressant”, a d\u00e9clar\u00e9 Tom Hegel, chercheur principal sur les menaces. a dit<\/a>.<\/p>\n Winter Vivern, \u00e9galement suivi sous le nom d’UAC-0114, a attir\u00e9 l’attention le mois dernier apr\u00e8s que l’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) a d\u00e9taill\u00e9 une nouvelle campagne de logiciels malveillants visant les autorit\u00e9s ukrainiennes et polonaises pour diffuser un logiciel malveillant baptis\u00e9 Aperetif.<\/p>\n Les pr\u00e9c\u00e9dents rapports publics relatant le groupe montrent qu’il a exploit\u00e9 des documents Microsoft Excel militaris\u00e9s contenant des macros XLM pour d\u00e9ployer des implants PowerShell sur des h\u00f4tes compromis.<\/p>\n Bien que les origines de l’acteur de la menace soient inconnues, les sch\u00e9mas d’attaque sugg\u00e8rent que le cluster est align\u00e9 sur des objectifs qui soutiennent les int\u00e9r\u00eats des gouvernements bi\u00e9lorusse et russe.<\/p>\n L’UAC-0114 a utilis\u00e9 une vari\u00e9t\u00e9 de m\u00e9thodes, allant des sites Web de phishing aux documents malveillants, qui sont adapt\u00e9es \u00e0 l’organisation cibl\u00e9e pour distribuer ses charges utiles personnalis\u00e9es et obtenir un acc\u00e8s non autoris\u00e9 aux syst\u00e8mes sensibles.<\/p>\n Dans une s\u00e9rie d’attaques observ\u00e9es \u00e0 la mi-2022, Winter Vivern a cr\u00e9\u00e9 des pages Web de phishing d’informations d’identification pour attirer les utilisateurs du service de messagerie l\u00e9gitime du gouvernement indien email.gov[.]dans.<\/p>\n Les cha\u00eenes d’attaque typiques impliquent l’utilisation de scripts batch se faisant passer pour des scanners de virus pour d\u00e9clencher le d\u00e9ploiement du cheval de Troie Aperetif \u00e0 partir d’infrastructures contr\u00f4l\u00e9es par des acteurs, telles que des sites WordPress compromis.<\/p>\n Aperetif, un logiciel malveillant bas\u00e9 sur Visual C++, est dot\u00e9 de fonctionnalit\u00e9s permettant de collecter les donn\u00e9es des victimes, de maintenir l’acc\u00e8s par porte d\u00e9rob\u00e9e et de r\u00e9cup\u00e9rer des charges utiles suppl\u00e9mentaires \u00e0 partir du serveur de commande et de contr\u00f4le (C2).<\/p>\n “Le Winter Vivern APT est un groupe aux ressources limit\u00e9es mais tr\u00e8s cr\u00e9atif qui fait preuve de retenue dans la port\u00e9e de ses attaques”, a d\u00e9clar\u00e9 Hegel.<\/p>\n “Leur capacit\u00e9 \u00e0 attirer des cibles dans les attaques et leur ciblage des gouvernements et des entreprises priv\u00e9es de grande valeur d\u00e9montrent le niveau de sophistication et d’intention strat\u00e9gique de leurs op\u00e9rations.”<\/p>\n Alors que Winter Vivern a peut-\u00eatre r\u00e9ussi \u00e0 \u00e9chapper \u00e0 l’attention du public pendant de longues p\u00e9riodes, un groupe qui n’est pas trop pr\u00e9occup\u00e9 par le fait de rester sous le radar est Nobelium, qui partage des chevauchements avec APT29 (alias BlueBravo, Cozy Bear ou The Dukes).<\/p>\n Le groupe d’\u00c9tats-nations soutenu par le Kremlin, connu pour la compromission de la cha\u00eene d’approvisionnement SolarWinds en d\u00e9cembre 2020, a continu\u00e9 \u00e0 faire \u00e9voluer son ensemble d’outils, en d\u00e9veloppant de nouveaux logiciels malveillants personnalis\u00e9s comme MagicWeb et GraphicalNeutrino.<\/p>\n Il a \u00e9galement \u00e9t\u00e9 attribu\u00e9 \u00e0 une autre campagne de phishing dirig\u00e9e contre des entit\u00e9s diplomatiques de l’Union europ\u00e9enne, avec un accent particulier sur les agences qui “aident les citoyens ukrainiens \u00e0 fuir le pays et fournissent une aide au gouvernement ukrainien”.<\/p>\n “Nobelium collecte activement des informations sur les pays soutenant l’Ukraine dans la guerre russo-ukrainienne”, a d\u00e9clar\u00e9 BlackBerry. a dit<\/a>. “Les acteurs de la menace suivent attentivement les \u00e9v\u00e9nements g\u00e9opolitiques et les utilisent pour augmenter leur possibilit\u00e9 d’une infection r\u00e9ussie.”<\/p>\n Les e-mails de phishing, rep\u00e9r\u00e9s par l’\u00e9quipe de recherche et de renseignement de l’entreprise, contiennent un document militaris\u00e9 qui comprend un lien pointant vers un fichier HTML.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n Les URL militaris\u00e9es, h\u00e9berg\u00e9es sur un site Web de biblioth\u00e8que en ligne l\u00e9gitime bas\u00e9 au Salvador, pr\u00e9sentent des leurres li\u00e9s \u00e0 LegisWrite et eTrustEx, qui sont tous deux utilis\u00e9s par les pays de l’UE pour l’\u00e9change s\u00e9curis\u00e9 de documents.<\/p>\n Le compte-gouttes HTML (surnomm\u00e9 ROOTSAW ou EnvyScout) fourni dans la campagne int\u00e8gre une image ISO, qui, \u00e0 son tour, est con\u00e7ue pour lancer une biblioth\u00e8que de liens dynamiques (DLL) malveillante qui facilite la livraison d’un logiciel malveillant de niveau sup\u00e9rieur via les API de Notion.<\/p>\n L’utilisation de Notion, une application de prise de notes populaire, pour les communications C2 a d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e par Recorded Future en janvier 2023. Il convient de noter qu’APT29 a utilis\u00e9 divers services en ligne tels que Dropbox, Google Drive, Firebase et Trello<\/a> pour tenter d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n “Nobelium reste tr\u00e8s actif, ex\u00e9cutant plusieurs campagnes en parall\u00e8le ciblant les organisations gouvernementales, les organisations non gouvernementales (ONG), les organisations intergouvernementales (OIG) et les groupes de r\u00e9flexion aux \u00c9tats-Unis, en Europe et en Asie centrale”, a d\u00e9clar\u00e9 Microsoft. d\u00e9clar\u00e9<\/a> le mois dernier.<\/p>\n Les d\u00e9couvertes surviennent \u00e9galement alors que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint a divulgu\u00e9 des campagnes de courrier \u00e9lectronique agressives orchestr\u00e9es par un acteur mena\u00e7ant align\u00e9 sur la Russie appel\u00e9 TA499 (alias Lexus et Vovan) depuis d\u00e9but 2021 pour inciter les cibles \u00e0 participer \u00e0 des appels t\u00e9l\u00e9phoniques enregistr\u00e9s ou \u00e0 des chats vid\u00e9o et extraire des informations pr\u00e9cieuses.<\/p>\n “L’acteur de la menace s’est engag\u00e9 dans une activit\u00e9 r\u00e9guli\u00e8re et a \u00e9largi son ciblage pour inclure des hommes d’affaires de premier plan et des personnalit\u00e9s de premier plan qui ont soit fait des dons importants aux efforts humanitaires ukrainiens, soit ceux qui font des d\u00e9clarations publiques sur la d\u00e9sinformation et la propagande russes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a>.<\/p>\n <\/p>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhKm5B-4BZ7c6NeiWfsjcRcR8SGXMnR3SASXdGA7wSgBlLGQ2d5yGEOsjQd2cCHkYdt9jvLVpETyY9pMcPcGfLGs3Gzu1QB7pAjTRgGva9JQ645HRPBau70znvqKgm49zLVrfr5VmQKcpGuWHQffhFdKxVvR4dlF1gbqDglpTDsBTTWPs4eqcWEboBy\/s728-e365\/india.png\")
<\/div>\n