L’acteur mena\u00e7ant connu sous le nom de Vip\u00e8re aride<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’utiliser des variantes actualis\u00e9es de sa bo\u00eete \u00e0 outils de logiciels malveillants dans ses attaques ciblant des entit\u00e9s palestiniennes depuis septembre 2022.<\/p>\n Symantec, qui suit le groupe sous son surnom Mantis, sur le th\u00e8me des insectes, a dit<\/a> l’adversaire “fait de grands efforts pour maintenir une pr\u00e9sence persistante sur les r\u00e9seaux cibl\u00e9s”.<\/p>\n Aussi connu sous les noms APT-C-23 et Desert Falcon<\/a>le groupe de piratage est li\u00e9 \u00e0 des attaques visant la Palestine et le Moyen-Orient au moins depuis 2014.<\/p>\n Mantis a utilis\u00e9 un arsenal d’outils malveillants maison tels que Vip\u00e8reRat<\/a>FrozenCell (alias VolatileVenom) et Micropsia pour ex\u00e9cuter et dissimuler ses campagnes sur les plateformes Windows, Android et iOS.<\/p>\n Les acteurs de la menace seraient de langue maternelle arabe et bas\u00e9s en Palestine, en \u00c9gypte et en Turquie, selon un rapport<\/a> publi\u00e9 par Kaspersky en f\u00e9vrier 2015. Les rapports publics ant\u00e9rieurs ont \u00e9galement li\u00e9 le groupe<\/a> \u00e0 la division cyberguerre du Hamas.<\/p>\n En avril 2022, des individus isra\u00e9liens de haut niveau employ\u00e9s dans des organisations sensibles de d\u00e9fense, d’application de la loi et de services d’urgence ont \u00e9t\u00e9 observ\u00e9s cibl\u00e9s par une nouvelle porte d\u00e9rob\u00e9e Windows baptis\u00e9e BarbWire.<\/p>\n Les s\u00e9quences d’attaque mont\u00e9es par le groupe utilisent g\u00e9n\u00e9ralement des e-mails de harponnage et de fausses informations d’identification sociales pour inciter les cibles \u00e0 installer des logiciels malveillants sur leurs appareils. <\/p>\n Les attaques les plus r\u00e9centes d\u00e9taill\u00e9es par Symantec impliquent l’utilisation de versions mises \u00e0 jour de ses implants personnalis\u00e9s Micropsia et Arid Gopher pour violer des cibles avant de se livrer au vol d’informations d’identification et \u00e0 l’exfiltration de donn\u00e9es vol\u00e9es.<\/p>\n Arid Gopher, un ex\u00e9cutable cod\u00e9 dans le langage de programmation Go, est une variante du malware Micropsia qui a \u00e9t\u00e9 d’abord document\u00e9<\/a> par Deep Instinct en mars 2022. Le passage \u00e0 Go n’est pas inhabituel car il permet au malware de rester sous le radar.<\/p>\n Micropsia, en plus de sa capacit\u00e9 \u00e0 lancer des charges utiles secondaires (comme Arid Gopher), est \u00e9galement con\u00e7u pour enregistrer les frappes au clavier, prendre des captures d’\u00e9cran et enregistrer les fichiers Microsoft Office dans les archives RAR pour l’exfiltration \u00e0 l’aide d’un outil bas\u00e9 sur Python sur mesure.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “Arid Gopher, comme son pr\u00e9d\u00e9cesseur Micropsia, est un malware voleur d’informations, dont l’intention est de s’implanter, de collecter des informations syst\u00e8me sensibles et de les renvoyer \u00e0 un r\u00e9seau C2 (commande et contr\u00f4le)”, Deep Instinct a dit<\/a> \u00e0 l’\u00e9poque.<\/p>\n Les preuves recueillies par Symantec montrent que Mantis a d\u00e9cid\u00e9 de d\u00e9ployer trois versions distinctes de Micropsia et Arid Gopher sur trois ensembles de postes de travail entre le 18 d\u00e9cembre 2022 et le 12 janvier 2023, afin de conserver l’acc\u00e8s.<\/p>\n Arid Gopher, pour sa part, a re\u00e7u des mises \u00e0 jour r\u00e9guli\u00e8res et des r\u00e9\u00e9critures compl\u00e8tes de code, les attaquants “mutant agressivement la logique entre les variantes” comme m\u00e9canisme d’\u00e9vasion de la d\u00e9tection.<\/p>\n “Mantis semble \u00eatre un adversaire d\u00e9termin\u00e9, pr\u00eat \u00e0 consacrer du temps et des efforts pour maximiser ses chances de succ\u00e8s, comme en t\u00e9moignent la r\u00e9\u00e9criture extensive des logiciels malveillants et sa d\u00e9cision de compartimenter les attaques contre des organisations uniques en plusieurs volets distincts afin de r\u00e9duire les chances que l’ensemble de l’op\u00e9ration soit d\u00e9tect\u00e9 \u00bb, a conclu Symantec.<\/p>\n <\/p>\n