Les pirates d’\u00e9lite associ\u00e9s \u00e0 Service de renseignement militaire russe<\/a> ont \u00e9t\u00e9 li\u00e9s \u00e0 des campagnes de phishing \u00e0 grande \u00e9chelle visant des centaines d’utilisateurs en Ukraine pour extraire des renseignements et influencer le discours public li\u00e9 \u00e0 la guerre.<\/p>\n Le Threat Analysis Group (TAG) de Google, qui est surveillance<\/a> les activit\u00e9s de l’acteur sous le nom de FROZENLAKE, a d\u00e9clar\u00e9 que les attaques continuent “l’accent mis par le groupe en 2022 sur le ciblage des utilisateurs de messagerie Web en Europe de l’Est”.<\/p>\n Le cyberacteur parrain\u00e9 par l’\u00c9tat, \u00e9galement suivi sous les noms d’APT28, Fancy Bear, Forest Blizzard, Iron Twilight, Sednit et Sofacy, est \u00e0 la fois tr\u00e8s actif et comp\u00e9tent. Il est actif depuis au moins 2009, ciblant les m\u00e9dias, les gouvernements et les entit\u00e9s militaires \u00e0 des fins d’espionnage.<\/p>\n Le dernier ensemble d’intrusions, qui a d\u00e9but\u00e9 d\u00e9but f\u00e9vrier 2023, impliquait l’utilisation de scripts intersites r\u00e9fl\u00e9chis (XSS<\/a>) attaques sur divers sites Web du gouvernement ukrainien pour rediriger les utilisateurs vers des domaines de phishing et capturer leurs informations d’identification.<\/p>\n La divulgation intervient alors que les agences de renseignement et d’application de la loi britanniques et am\u00e9ricaines ont publi\u00e9 un avertissement conjoint sur les attaques d’APT28 exploitant une ancienne vuln\u00e9rabilit\u00e9 connue des routeurs Cisco pour d\u00e9ployer un logiciel malveillant connu sous le nom de Jaguar Tooth.<\/p>\n FROZENLAKE est loin d’\u00eatre le seul acteur concentr\u00e9 sur l’Ukraine depuis l’invasion militaire russe du pays il y a plus d’un an. Un autre collectif adverse notable est FROZENBARENTS – alias Sandworm, Seashell Blizzard (n\u00e9e Iridium) ou Voodoo Bear – qui s’est engag\u00e9 dans un effort soutenu pour cibler les organisations affili\u00e9es au Caspian Pipeline Consortium (CPC) et d’autres entit\u00e9s du secteur de l’\u00e9nergie en Europe de l’Est.<\/p>\n Les deux groupes ont \u00e9t\u00e9 attribu\u00e9s \u00e0 la Direction g\u00e9n\u00e9rale du renseignement de l’\u00e9tat-major (GRU), l’APT28 \u00e9tant li\u00e9 \u00e0 l’unit\u00e9 de renseignement militaire 26165 du 85e centre de services sp\u00e9ciaux (GTsSS). Sandworm, d’autre part, ferait partie de l’unit\u00e9 74455 du GRU.<\/p>\n La campagne de collecte d’informations d’identification ciblait les employ\u00e9s de CPC avec des liens de phishing transmis par SMS. Les attaques contre les liens distribu\u00e9s verticaux de l’\u00e9nergie vers de faux packages de mise \u00e0 jour Windows qui ont finalement ex\u00e9cut\u00e9 un voleur d’informations connu sous le nom de Rhadamanthys pour exfiltrer les mots de passe et les cookies du navigateur.<\/p>\n FROZENBARENTS, surnomm\u00e9 le “cyberacteur le plus polyvalent du GRU”, a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de lancer des attaques de phishing d’identifiants ciblant l’industrie ukrainienne de la d\u00e9fense, l’arm\u00e9e et les utilisateurs de la messagerie Web Ukr.net \u00e0 partir de d\u00e9but d\u00e9cembre 2022.<\/p>\n Ma\u00eetrisez l’art de la collecte de renseignements sur le dark web<\/p>\n Apprenez l’art d’extraire des informations sur les menaces du dark web – Rejoignez ce webinaire dirig\u00e9 par des experts\u00a0!<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n L’acteur de la menace aurait en outre cr\u00e9\u00e9 des personnages en ligne sur YouTube, Telegram et Instagram pour diffuser des r\u00e9cits pro-russes, divulguer des donn\u00e9es vol\u00e9es \u00e0 des organisations compromises et publier des cibles pour des attaques par d\u00e9ni de service distribu\u00e9 (DDoS).<\/p>\n “FROZENBARENTS a cibl\u00e9 les utilisateurs associ\u00e9s \u00e0 des cha\u00eenes populaires sur Telegram”, a d\u00e9clar\u00e9 Billy Leonard, chercheur au TAG. “Les campagnes de phishing diffus\u00e9es par e-mail et SMS ont usurp\u00e9 Telegram pour voler des informations d’identification, ciblant parfois les utilisateurs suivant des canaux pro-russes.”<\/p>\n Un troisi\u00e8me acteur de menace d’int\u00e9r\u00eat est PUSHCHA (alias Ghostwriter ou UNC1151), un groupe soutenu par le gouvernement bi\u00e9lorusse qui est connu pour agir au nom des int\u00e9r\u00eats russes, ses attaques de phishing cibl\u00e9es ciblant les fournisseurs de messagerie Web ukrainiens tels que i.ua et meta.ua pour siphonner les identifiants.<\/p>\n Google TAG a \u00e9galement mis en \u00e9vidence un ensemble d’attaques mont\u00e9es par le groupe \u00e0 l’origine du ran\u00e7ongiciel cubain \u00e0 d\u00e9ployer RomCom RAT<\/a> dans le gouvernement ukrainien et les r\u00e9seaux militaires.<\/p>\n “Cela repr\u00e9sente un changement important par rapport aux op\u00e9rations traditionnelles de ransomware de cet acteur, se comportant de mani\u00e8re plus similaire \u00e0 un acteur menant des op\u00e9rations de collecte de renseignements”, a soulign\u00e9 Leonard.<\/p>\n <\/p>\n![\"Attaques](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhsahrEj7YLS8uGL_nSdhPNUgVzV9ugEMbybxBLpCtihn4eA-hifO4ylEG5Uz3jqab3Q_mkRvu2GhCaZDfRHGSDOEnrOCU3dyqAN5YxfobCfeSdmbwwgwZyQ7FAp3639XL2FjVR_gaV3suAfBjEAkEgVWhhxJZsYrOT1n9qBf9BmDAQZLgwm_dRozi7\/s728-e3650\/phishing.png\" "\\"Attaques")
<\/div>\n