L’acteur nord-cor\u00e9en de la menace persistante avanc\u00e9e (APT) surnomm\u00e9 ScarCruft<\/b> utilise des fichiers Microsoft Compiled HTML Help (CHM) militaris\u00e9s pour t\u00e9l\u00e9charger des logiciels malveillants suppl\u00e9mentaires.<\/p>\n
Selon plusieurs rapports de Centre d’intervention d’urgence de s\u00e9curit\u00e9 AhnLab<\/a> (UNE SECONDE<\/a>), SEKOIA.IO<\/a>et \u00c9chelle Z<\/a>le d\u00e9veloppement illustre les efforts continus du groupe pour affiner et r\u00e9organiser ses tactiques afin d’\u00e9viter la d\u00e9tection.<\/p>\n “Le groupe fait constamment \u00e9voluer ses outils, ses techniques et ses proc\u00e9dures tout en exp\u00e9rimentant de nouveaux formats de fichiers et de nouvelles m\u00e9thodes pour contourner les fournisseurs de s\u00e9curit\u00e9”, ont d\u00e9clar\u00e9 les chercheurs de Zscaler Sudeep Singh et Naveen Selvan dans une nouvelle analyse publi\u00e9e mardi. <\/p>\n ScarCruft, \u00e9galement suivi sous les noms APT37, Reaper, RedEyes et Ricochet Chollima, a montr\u00e9 un rythme op\u00e9rationnel accru depuis le d\u00e9but de l’ann\u00e9e, ciblant diverses entit\u00e9s sud-cor\u00e9ennes \u00e0 des fins d’espionnage. Il est connu pour \u00eatre actif depuis au moins 2012.<\/p>\n Le mois dernier, l’ASEC a d\u00e9voil\u00e9 une campagne qui utilisait des fichiers HWP qui profitaient d’une faille de s\u00e9curit\u00e9 dans le logiciel de traitement de texte Hangul pour d\u00e9ployer une porte d\u00e9rob\u00e9e appel\u00e9e M2RAT<\/a>.<\/p>\n Mais de nouvelles d\u00e9couvertes r\u00e9v\u00e8lent que l’auteur de la menace utilise \u00e9galement d’autres formats de fichiers tels que CHM, HTA, LNK, XLL et des documents Microsoft Office bas\u00e9s sur des macros dans ses attaques de harponnage contre des cibles sud-cor\u00e9ennes.<\/p>\n Ces cha\u00eenes d’infection servent souvent \u00e0 afficher un fichier leurre et \u00e0 d\u00e9ployer une version mise \u00e0 jour d’un implant bas\u00e9 sur PowerShell connu sous le nom de Chinotto, capable d’ex\u00e9cuter des commandes envoy\u00e9es par un serveur et d’exfiltrer des donn\u00e9es sensibles.<\/p>\n Certaines des nouvelles fonctionnalit\u00e9s de Chinotto incluent la capture d’\u00e9cran toutes les cinq secondes et l’enregistrement des frappes au clavier. Les informations captur\u00e9es sont enregistr\u00e9es dans une archive ZIP et envoy\u00e9es \u00e0 un serveur distant.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la mani\u00e8re de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n Les informations sur les diff\u00e9rents vecteurs d’attaque de ScarCruft proviennent d’un r\u00e9f\u00e9rentiel GitHub maintenu par le collectif contradictoire pour h\u00e9berger des charges utiles malveillantes depuis octobre 2020.<\/p>\n “L’acteur de la menace a pu maintenir un r\u00e9f\u00e9rentiel GitHub, mettant fr\u00e9quemment en sc\u00e8ne des charges utiles malveillantes pendant plus de deux ans sans \u00eatre d\u00e9tect\u00e9 ou supprim\u00e9”, ont d\u00e9clar\u00e9 les chercheurs de Zscaler.<\/p>\n En dehors de la distribution de logiciels malveillants, ScarCruft a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de diffuser des pages Web de phishing d’informations d’identification ciblant plusieurs services de messagerie et de cloud tels que Naver, iCloud, Kakao, Mail.ru et 163.com.<\/p>\n Il n’est cependant pas clair comment ces pages sont consult\u00e9es par les victimes, ce qui soul\u00e8ve la possibilit\u00e9 qu’elles aient \u00e9t\u00e9 int\u00e9gr\u00e9es dans des iframes sur des sites Web contr\u00f4l\u00e9s par l’attaquant ou envoy\u00e9es sous forme de pi\u00e8ces jointes HTML par e-mail.<\/p>\n SEKOIA.IO a \u00e9galement d\u00e9couvert un logiciel malveillant nomm\u00e9 AblyGo, une porte d\u00e9rob\u00e9e \u00e9crite en Go qui utilise le Habilement<\/a> cadre de messagerie en temps r\u00e9el pour recevoir des commandes.<\/p>\n L’utilisation de fichiers CHM pour la contrebande de logiciels malveillants semble \u00e9galement se r\u00e9pandre aupr\u00e8s d’autres groupes affili\u00e9s \u00e0 la Cor\u00e9e du Nord, avec l’ASEC d\u00e9couvrir<\/a> une campagne de phishing orchestr\u00e9e par Kimsuky pour distribuer une porte d\u00e9rob\u00e9e charg\u00e9e de r\u00e9colter les donn\u00e9es du presse-papiers et d’enregistrer les frappes au clavier.<\/p>\n <\/p>\n![\"Techniques](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhXl7DwySsoqJ36yqiQ7ACzD8pe44sLaQBTkYK99WBZPF9TNViiQXn2oqVahnH_BQfYem0D7ap_ZJmWcx_K3QcRG6GkIrlmBxihG5SoWs5IYywLgaqkuzTFF3QXXyJI2qCViV8rNuSZpRd5f3QxpeXIKWLkxadl5V-wvT8RtyRC8-wiMYUPuFFil8Tr\/s728-e3650\/malware.png\" "\\"Techniques")
<\/div>\n![\"Techniques](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjVBEGmw3A9P-mxJNtUYoQa07RZyLZOy5ZL4kxeo2wshs2VDypDGXK79pVXPjSJql9-ThxOZYuh0KzIj3CqAZoPJvbaaO1MTlZ6KnqiM5ycFlPBtu29y0Tm9o-oNKLMAAMhxM4JjqLDJyotX4AVemvbXQbtO5_PLJvraLzEmssVeQ2FtlTD1DAGo1Zt\/s728-e3650\/alby.png\" "\\"Techniques")
<\/div>\n