Une nouvelle souche de logiciels malveillants d\u00e9velopp\u00e9e par des acteurs de la menace probablement affili\u00e9s au groupe de cybercriminalit\u00e9 FIN7 a \u00e9t\u00e9 utilis\u00e9e par les membres du gang de ran\u00e7ongiciels Conti, aujourd’hui disparu, indiquant une collaboration entre les deux \u00e9quipes.<\/p>\n
Le malware, surnomm\u00e9 Domino<\/strong>est principalement con\u00e7u pour faciliter l’exploitation ult\u00e9rieure sur des syst\u00e8mes compromis, notamment en fournissant un voleur d’informations moins connu qui est mis en vente sur le dark web depuis d\u00e9cembre 2021.<\/p>\n “Anciens membres du syndicat TrickBot\/Conti […] utilisent Domino depuis au moins fin f\u00e9vrier 2023 pour fournir soit le Projet N\u00e9m\u00e9sis<\/b> voleur d’informations ou des portes d\u00e9rob\u00e9es plus performantes telles que Cobalt Strike \u00bb, Charlotte Hammond, chercheuse en s\u00e9curit\u00e9 chez IBM Security X-Force a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n FIN7, \u00e9galement appel\u00e9 Carbanak et ITG14, est un syndicat prolifique de cybercriminels russophones connu pour utiliser une gamme de logiciels malveillants personnalis\u00e9s pour d\u00e9ployer des charges utiles suppl\u00e9mentaires et \u00e9largir ses m\u00e9thodes de mon\u00e9tisation.<\/p>\n Des analyses r\u00e9centes de Mandiant, SentinelOne et PRODAFT, propri\u00e9t\u00e9 de Google, ont r\u00e9v\u00e9l\u00e9 le r\u00f4le du groupe en tant que pr\u00e9curseur de Maze et Ran\u00e7ongiciel Ryuk<\/a> attaques, sans parler d’exposer ses liens avec les familles Black Basta, DarkSide, REvil et LockBit.<\/p>\n La derni\u00e8re vague d’intrusion, rep\u00e9r\u00e9e par IBM Security X-Force il y a deux mois, implique l’utilisation de Dave Loader<\/a>un crypteur pr\u00e9c\u00e9demment attribu\u00e9 au groupe Conti (alias Gold Blackburn, ITG23, ou Wizard Spider), pour d\u00e9ployer la porte d\u00e9rob\u00e9e Domino.<\/p>\n Les connexions potentielles de Domino \u00e0 FIN7 proviennent de chevauchements de code source avec DICELOADER (alias Lizar ou Tirion), une famille de logiciels malveillants \u00e9prouv\u00e9e attribu\u00e9e au groupe. Le logiciel malveillant, pour sa part, est con\u00e7u pour collecter des informations sensibles de base et r\u00e9cup\u00e9rer des charges utiles crypt\u00e9es \u00e0 partir d’un serveur distant.<\/p>\n Cet artefact de la prochaine \u00e9tape est un deuxi\u00e8me chargeur nomm\u00e9 Domino Loader, qui h\u00e9berge un voleur d’informations .NET crypt\u00e9 appel\u00e9 Project Nemesis, capable d’amasser des donn\u00e9es sensibles \u00e0 partir du presse-papiers, de Discord, de navigateurs Web, de portefeuilles cryptographiques, de services VPN et d’autres applications.<\/p>\n “Domino est actif dans la nature depuis au moins octobre 2022, date \u00e0 laquelle les observations de Lizar ont notamment commenc\u00e9 \u00e0 diminuer”, a soulign\u00e9 Hammond, indiquant que les acteurs de la menace pourraient \u00e9liminer progressivement ces derniers au profit du nouveau malware.<\/p>\n Un autre lien crucial reliant Domino \u00e0 FIN7 provient d’une campagne de d\u00e9cembre 2022 qui a exploit\u00e9 un autre chargeur appel\u00e9 NewWorldOrder Loader pour fournir \u00e0 la fois les portes d\u00e9rob\u00e9es Domino et Carbanak.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n La porte d\u00e9rob\u00e9e et le chargeur Domino – deux DLL 64 bits \u00e9crites en Visual C++ – auraient \u00e9t\u00e9 utilis\u00e9s pour installer Project Nemesis depuis au moins octobre 2022, avant son utilisation par les anciens membres de Conti plus t\u00f4t cette ann\u00e9e.<\/p>\n “Cela nous am\u00e8ne \u00e0 \u00e9valuer que les membres de l’ITG14 responsables du d\u00e9veloppement de Domino avaient probablement une relation avec le projet Nemesis et ont propos\u00e9 Domino et le voleur d’informations aux ex-acteurs de la menace Conti dans le cadre d’un package”, a d\u00e9clar\u00e9 Hammond. “Les anciens membres de Conti ont \u00e0 leur tour probablement utilis\u00e9 le voleur d’informations du projet Nemesis contre des cibles de moindre valeur.”<\/p>\n L’utilisation de malwares voleurs par les distributeurs de ransomwares n’est pas sans pr\u00e9c\u00e9dent. En novembre 2022, Microsoft a r\u00e9v\u00e9l\u00e9 des intrusions mont\u00e9es par un acteur malveillant connu sous le nom de DEV-0569 qui exploitait Logiciel malveillant BATLOADER<\/a> pour livrer Vidar et Cobalt Strike, ce dernier ayant finalement facilit\u00e9 les attaques de ran\u00e7ongiciels op\u00e9r\u00e9s par l’homme en distribuant le ran\u00e7ongiciel Royal.<\/p>\n Cela a soulev\u00e9 la possibilit\u00e9 que des voleurs d’informations soient d\u00e9ploy\u00e9s lors d’infections de moindre priorit\u00e9 (par exemple, des ordinateurs personnels), tandis que ceux appartenant \u00e0 un domaine Active Directory sont servis avec Cobalt Strike.<\/p>\n “L’utilisation de logiciels malveillants li\u00e9s \u00e0 plusieurs groupes dans une m\u00eame campagne – tels que Dave Loader, Domino Backdoor et Project Nemesis infostealer – met en \u00e9vidence la complexit\u00e9 du suivi des acteurs de la menace, mais donne \u00e9galement un aper\u00e7u de la mani\u00e8re et avec qui ils op\u00e8rent”, Hammond conclu.<\/p>\n <\/p>\n![\"Attaques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/FIN7-et-les-gangs-de-cybercriminalite-Ex-Conti-unissent-leurs-forces.jpg\" "\\"Attaques")
<\/div>\n