{"id":686578,"date":"2023-04-13T07:26:47","date_gmt":"2023-04-13T09:26:47","guid":{"rendered":"https:\/\/teknomers.com\/fr\/lazarus-hacker-group-fait-evoluer-les-tactiques-les-outils-et-les-cibles-dans-la-campagne-deathnote\/"},"modified":"2023-04-13T07:26:50","modified_gmt":"2023-04-13T09:26:50","slug":"lazarus-hacker-group-fait-evoluer-les-tactiques-les-outils-et-les-cibles-dans-la-campagne-deathnote","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/lazarus-hacker-group-fait-evoluer-les-tactiques-les-outils-et-les-cibles-dans-la-campagne-deathnote\/","title":{"rendered":"Lazarus Hacker Group fait \u00e9voluer les tactiques, les outils et les cibles dans la campagne DeathNote"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>13 avril 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cyberattaque \/ Cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

L’acteur mena\u00e7ant nord-cor\u00e9en connu sous le nom de groupe Lazarus a \u00e9t\u00e9 observ\u00e9 en train de changer d’orientation et de faire \u00e9voluer rapidement ses outils et ses tactiques dans le cadre d’une activit\u00e9 de longue date appel\u00e9e Menace de mort<\/strong>.<\/p>\n

Alors que l’adversaire de l’\u00c9tat-nation est connu pour ses attaques persistantes contre le secteur de la crypto-monnaie, il a \u00e9galement cibl\u00e9 les secteurs de l’automobile, de l’universit\u00e9 et de la d\u00e9fense en Europe de l’Est et dans d’autres parties du monde, dans ce qui est per\u00e7u comme un pivot “significatif”. <\/p>\n

“\u00c0 ce stade, l’acteur a remplac\u00e9 tous les documents leurres par des descriptions de poste li\u00e9es aux sous-traitants de la d\u00e9fense et aux services diplomatiques”, a d\u00e9clar\u00e9 le chercheur de Kaspersky, Seongsu Park. a dit<\/a> dans une analyse publi\u00e9e mercredi.<\/p>\n

L’\u00e9cart de ciblage, ainsi que l’utilisation de vecteurs d’infection mis \u00e0 jour, se seraient produits en avril 2020. Il convient de noter que le cluster DeathNote est \u00e9galement suivi sous les surnoms Operation Dream Job ou NukeSped. Mandiant, propri\u00e9t\u00e9 de Google, a \u00e9galement li\u00e9 un sous-ensemble de l’activit\u00e9 \u00e0 un groupe qu’il appelle UNC2970.<\/p>\n

Les attaques de phishing dirig\u00e9es contre les entreprises de cryptographie impliquent g\u00e9n\u00e9ralement l’utilisation de leurres sur le th\u00e8me de l’extraction de bitcoins dans les messages \u00e9lectroniques pour inciter les cibles potentielles \u00e0 ouvrir des documents contenant des macros afin de supprimer la porte d\u00e9rob\u00e9e Manuscrypt (alias NukeSped) sur la machine compromise.<\/p>\n

Le ciblage des secteurs automobile et universitaire est li\u00e9 aux attaques plus larges du groupe Lazarus contre l’industrie de la d\u00e9fense, comme document\u00e9 par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 en octobre 2021, conduisant au d\u00e9ploiement des implants BLINDINGCAN (alias AIRDRY ou ZetaNile) et COPPERHEDGE.<\/p>\n

\"Campagne<\/div>\n

Dans une cha\u00eene d’attaque alternative, l’auteur de la menace a utilis\u00e9 une version cheval de Troie d’une application de lecteur PDF l\u00e9gitime appel\u00e9e SumatraPDF Reader pour lancer sa routine malveillante. L’utilisation par le groupe Lazarus d’applications de lecture de PDF malveillantes a d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e par Microsoft.<\/p>\n

Les cibles de ces attaques comprenaient un fournisseur de solutions de surveillance des actifs informatiques bas\u00e9 en Lettonie et un groupe de r\u00e9flexion situ\u00e9 en Cor\u00e9e du Sud, ce dernier impliquant l’abus de logiciels de s\u00e9curit\u00e9 l\u00e9gitimes largement utilis\u00e9s dans le pays pour ex\u00e9cuter les charges utiles.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n

Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n

Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n

Les attaques jumelles “indiquent que Lazarus construit des capacit\u00e9s d’attaque de la cha\u00eene d’approvisionnement”, a not\u00e9 Kaspersky \u00e0 l’\u00e9poque. L’\u00e9quipe adverse a depuis \u00e9t\u00e9 bl\u00e2m\u00e9e pour l’attaque de la cha\u00eene d’approvisionnement visant le fournisseur de services VoIP d’entreprise 3CX qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e le mois dernier.<\/p>\n

Kaspersky a d\u00e9clar\u00e9 avoir d\u00e9couvert une autre attaque en mars 2022 qui ciblait plusieurs victimes en Cor\u00e9e du Sud en exploitant le m\u00eame logiciel de s\u00e9curit\u00e9 pour fournir un logiciel malveillant de t\u00e9l\u00e9chargement capable de fournir une porte d\u00e9rob\u00e9e ainsi qu’un voleur d’informations pour r\u00e9colter les donn\u00e9es de frappe et de presse-papiers.<\/p>\n

“La porte d\u00e9rob\u00e9e nouvellement implant\u00e9e est capable d’ex\u00e9cuter une charge utile r\u00e9cup\u00e9r\u00e9e avec une communication par canal nomm\u00e9”, a d\u00e9clar\u00e9 Park, ajoutant qu’elle est \u00e9galement “responsable de la collecte et de la communication des informations sur la victime”.<\/p>\n

\u00c0 peu pr\u00e8s au m\u00eame moment, la m\u00eame porte d\u00e9rob\u00e9e aurait \u00e9t\u00e9 utilis\u00e9e pour violer un entrepreneur de la d\u00e9fense en Am\u00e9rique latine en utilisant des techniques de chargement lat\u00e9ral de DLL lors de l’ouverture d’un fichier PDF sp\u00e9cialement con\u00e7u \u00e0 l’aide d’un lecteur PDF trojanis\u00e9.<\/p>\n

Le groupe Lazarus a \u00e9galement \u00e9t\u00e9 li\u00e9 \u00e0 une violation r\u00e9ussie d’un autre entrepreneur de la d\u00e9fense en Afrique en juillet dernier, dans laquelle une “application PDF suspecte” a \u00e9t\u00e9 envoy\u00e9e sur Skype pour finalement abandonner une variante d’une porte d\u00e9rob\u00e9e appel\u00e9e ThreatNeedle et un autre implant connu sous le nom de ForestTiger pour exfiltrer des donn\u00e9es. .<\/p>\n

“Le groupe Lazarus est un acteur de la menace notoire et hautement qualifi\u00e9”, a d\u00e9clar\u00e9 Park. “Alors que le groupe Lazarus continue d’affiner ses approches, il est crucial pour les organisations de rester vigilantes et de prendre des mesures proactives pour se d\u00e9fendre contre ses activit\u00e9s malveillantes.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n