d’abord document\u00e9<\/a> par le fournisseur de services de s\u00e9curit\u00e9 cloudLacework en d\u00e9cembre 2022.<\/p>\nLa soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SentinelOne, dans une analyse publi\u00e9e \u00e0 la fin du mois dernier, a r\u00e9v\u00e9l\u00e9 qu’AndroxGh0st fait partie d’un ensemble d’outils complet appel\u00e9 AlienFox qui est propos\u00e9 aux acteurs de la menace pour voler les cl\u00e9s API et les secrets des services cloud.<\/p>\n
“Legion semble faire partie d’une g\u00e9n\u00e9ration \u00e9mergente d’utilitaires de collecte d’informations d’identification\/spam ax\u00e9s sur le cloud”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Matt Muir \u00e0 The Hacker News. “Les d\u00e9veloppeurs de ces outils se volent souvent le code de l’autre, ce qui rend difficile l’attribution \u00e0 un groupe particulier.”<\/p>\n
En plus d’utiliser Telegram comme point d’exfiltration de donn\u00e9es, Legion est con\u00e7u pour exploiter des serveurs Web ex\u00e9cutant des syst\u00e8mes de gestion de contenu (CMS), PHP ou des frameworks bas\u00e9s sur PHP comme Laravel.<\/p>\n
“Il peut r\u00e9cup\u00e9rer les informations d’identification pour un large \u00e9ventail de services Web, tels que les fournisseurs de messagerie, les fournisseurs de services cloud, les syst\u00e8mes de gestion de serveurs, les bases de donn\u00e9es et les plateformes de paiement comme Stripe et PayPal”, a d\u00e9clar\u00e9 Cado Labs.<\/p>\n
Certains des autres services cibl\u00e9s incluent SendGrid, Twilio, Nexmo, AWS, Mailgun, Plivo, ClickSend, Mandrill, Mailjet, MessageBird, Vonage, Exotel, OneSignal, Clickatell et TokBox.<\/p>\n
L’objectif principal du logiciel malveillant est de permettre aux acteurs de la menace de d\u00e9tourner les services et de militariser l’infrastructure pour des attaques ult\u00e9rieures, notamment en organisant des campagnes de phishing opportunistes.<\/p>\n
L’objectif principal du logiciel malveillant est de permettre aux acteurs de la menace de d\u00e9tourner les services et de militariser l’infrastructure pour des attaques ult\u00e9rieures, y compris le montage de spams de masse et de campagnes de phishing opportunistes.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert une cha\u00eene YouTube contenant des didacticiels vid\u00e9o sur l’utilisation de Legion, sugg\u00e9rant que “l’outil est largement distribu\u00e9 et qu’il s’agit probablement d’un logiciel malveillant payant”. La cha\u00eene YouTube, qui a \u00e9t\u00e9 cr\u00e9\u00e9e le 15 juin 2021, reste active au moment de la r\u00e9daction.<\/p>\n
De plus, Legion r\u00e9cup\u00e8re les informations d’identification AWS \u00e0 partir de serveurs Web non s\u00e9curis\u00e9s ou mal configur\u00e9s et envoie des spams SMS aux utilisateurs de r\u00e9seaux mobiles am\u00e9ricains tels que AT&T, Sprint, T-Mobile, Verizon et Virgin.<\/p>\n
WEBINAIRE \u00c0 VENIR<\/span><\/p>\nMa\u00eetrisez l’art de la collecte de renseignements sur le dark web<\/p>\n
Apprenez l’art d’extraire des informations sur les menaces du dark web – Rejoignez ce webinaire dirig\u00e9 par des experts\u00a0!<\/p>\n
Sauvez ma place\u00a0!<\/a><\/div>\n“Pour ce faire, le logiciel malveillant r\u00e9cup\u00e8re l’indicatif r\u00e9gional d’un \u00c9tat am\u00e9ricain choisi par l’utilisateur sur le site Web www.randomphonenumbers.com”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Matt Muir. “Une fonction rudimentaire de g\u00e9n\u00e9ration de num\u00e9ros est ensuite utilis\u00e9e pour constituer une liste de num\u00e9ros de t\u00e9l\u00e9phone \u00e0 cibler.”<\/p>\n
En outre, Legion peut r\u00e9cup\u00e9rer les informations d’identification AWS \u00e0 partir de serveurs Web non s\u00e9curis\u00e9s ou mal configur\u00e9s et envoyer des spams SMS aux utilisateurs de r\u00e9seaux mobiles am\u00e9ricains tels que AT&T, Sprint, T-Mobile, Verizon et Virgin en exploitant les informations d’identification SMTP vol\u00e9es.<\/p>\n
“Pour ce faire, le logiciel malveillant r\u00e9cup\u00e8re l’indicatif r\u00e9gional d’un \u00c9tat am\u00e9ricain choisi par l’utilisateur sur le site Web www.randomphonenumbers[.]com”, a d\u00e9clar\u00e9 Muir. “Une fonction rudimentaire de g\u00e9n\u00e9ration de num\u00e9ros est ensuite utilis\u00e9e pour cr\u00e9er une liste de num\u00e9ros de t\u00e9l\u00e9phone \u00e0 cibler.”<\/p>\n
Un autre aspect notable de Legion est sa capacit\u00e9 \u00e0 exploiter les vuln\u00e9rabilit\u00e9s PHP bien connues pour enregistrer un shell Web pour un acc\u00e8s \u00e0 distance persistant ou ex\u00e9cuter du code malveillant.<\/p>\n
Les origines de l’acteur de la menace derri\u00e8re l’outil, qui s’appelle “forzatools” sur Telegram, restent inconnues, bien que la pr\u00e9sence de commentaires en indon\u00e9sien dans le code source indique que le d\u00e9veloppeur peut \u00eatre indon\u00e9sien ou bas\u00e9 dans le pays.<\/p>\n
“\u00c9tant donn\u00e9 que ce logiciel malveillant repose fortement sur des erreurs de configuration dans les technologies et les cadres de serveur Web tels que Laravel, il est recommand\u00e9 aux utilisateurs de ces technologies de revoir leurs processus de s\u00e9curit\u00e9 existants et de s’assurer que les secrets sont stock\u00e9s de mani\u00e8re appropri\u00e9e”, a d\u00e9clar\u00e9 Muir.<\/p>\n
<\/p>\n
![\"Outil](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEit-5YE7WRU9hskLEOZdR5LQoefBcBzMPMW1F481GqCM2tL21OiTDYhWxVeryti7hNA5v4w7zvIT3rn8XUof48ghC-hOxB7KN2QzZlIWmtaYmSQSgdpAEU6tDJLE8rOyGyP3ptxhdeUD3DaP9OFJkQJqqoQt__vF8_OLKS7VQFy-gMmhtFEFIX7goeI\/s728-e3650\/hacking.png\" "\\"Outil")
<\/div>\n