Le prolifique groupe d’\u00c9tats-nations iraniens connu sous le nom de Charmant chaton<\/strong> a cibl\u00e9 plusieurs victimes aux \u00c9tats-Unis, en Europe, au Moyen-Orient et en Inde avec un nouveau malware appel\u00e9 BellaCiao<\/strong>s’ajoutant \u00e0 sa liste sans cesse croissante d’outils personnalis\u00e9s.<\/p>\n D\u00e9couvert par Bitdefender Labs, BellaCiao est un “dropper personnalis\u00e9” capable de fournir d’autres charges utiles de logiciels malveillants sur une machine victime en fonction des commandes re\u00e7ues d’un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n “Chaque \u00e9chantillon collect\u00e9 \u00e9tait li\u00e9 \u00e0 une victime sp\u00e9cifique et comprenait des informations cod\u00e9es en dur telles que le nom de l’entreprise, des sous-domaines sp\u00e9cialement con\u00e7us ou l’adresse IP publique associ\u00e9e”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 roumaine de cybers\u00e9curit\u00e9. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Charming Kitten, \u00e9galement connu sous le nom d’APT35, Cobalt Illusion, Educated Manticore, ITG18, Mint Sandstorm (n\u00e9e Phosphorus), TA453 et Yellow Garuda, est un groupe APT parrain\u00e9 par l’\u00c9tat iranien associ\u00e9 au Corps des gardiens de la r\u00e9volution islamique (IRGC<\/a>).<\/p>\n Au fil des ans, le groupe a utilis\u00e9 divers moyens pour d\u00e9ployer des portes d\u00e9rob\u00e9es dans des syst\u00e8mes appartenant \u00e0 un large \u00e9ventail de secteurs verticaux.<\/p>\n Le d\u00e9veloppement intervient alors que l’acteur de la menace a \u00e9t\u00e9 attribu\u00e9 par Microsoft \u00e0 des attaques de repr\u00e9sailles visant des entit\u00e9s d’infrastructure critiques aux \u00c9tats-Unis entre fin 2021 et mi-2022 en utilisant des logiciels malveillants sur mesure tels que harmPower, Drokbk et Soldier.<\/p>\n Plus t\u00f4t cette semaine, Check Point a r\u00e9v\u00e9l\u00e9 l’utilisation par Mint Sandstorm d’une version mise \u00e0 jour de l’implant PowerLess pour frapper des organisations situ\u00e9es en Isra\u00ebl en utilisant des leurres de phishing sur le th\u00e8me de l’Irak.<\/p>\n “Les logiciels malveillants d\u00e9velopp\u00e9s sur mesure, \u00e9galement appel\u00e9s logiciels malveillants” sur mesure “, sont g\u00e9n\u00e9ralement plus difficiles \u00e0 d\u00e9tecter car ils sont sp\u00e9cialement con\u00e7us pour \u00e9chapper \u00e0 la d\u00e9tection et contiennent un code unique”, a not\u00e9 Martin Zugec, chercheur chez Bitdefender.<\/p>\n Le mode op\u00e9ratoire exact utilis\u00e9 pour r\u00e9aliser l’intrusion initiale est actuellement ind\u00e9termin\u00e9, bien qu’il soit soup\u00e7onn\u00e9 d’impliquer l’exploitation de vuln\u00e9rabilit\u00e9s connues dans des applications expos\u00e9es \u00e0 Internet telles que Microsoft Exchange Server ou Zoho ManageEngine.<\/p>\n Une violation r\u00e9ussie est suivie par l’auteur de la menace qui tente de d\u00e9sactiver Microsoft Defender \u00e0 l’aide d’une commande PowerShell et d’\u00e9tablir la persistance sur l’h\u00f4te via un exemple de service<\/a>.<\/p>\n Bitdefender a \u00e9galement d\u00e9clar\u00e9 avoir observ\u00e9 Charming Kitten en train de t\u00e9l\u00e9charger deux modules Internet Information Services (IIS) capables de traiter les instructions entrantes et d’exfiltrer les informations d’identification.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n BellaCiao, pour sa part, est \u00e9galement remarquable pour effectuer une requ\u00eate DNS toutes les 24 heures pour r\u00e9soudre un sous-domaine en une adresse IP qui est ensuite analys\u00e9e pour extraire les commandes \u00e0 ex\u00e9cuter sur le syst\u00e8me compromis.<\/p>\n “L’adresse IP r\u00e9solue est comme la v\u00e9ritable adresse IP publique, mais avec de l\u00e9g\u00e8res modifications qui permettent \u00e0 BellaCiao de recevoir des instructions suppl\u00e9mentaires”, a expliqu\u00e9 Zugec.<\/p>\n En fonction de l’adresse IP r\u00e9solue, la cha\u00eene d’attaque conduit au d\u00e9ploiement d’un shell Web qui prend en charge la possibilit\u00e9 de t\u00e9l\u00e9charger et de t\u00e9l\u00e9charger des fichiers arbitraires ainsi que d’ex\u00e9cuter des commandes.<\/p>\n Une deuxi\u00e8me variante de BellaCiao est \u00e9galement rep\u00e9r\u00e9e, qui remplace le shell Web par un outil Plink – un utilitaire de ligne de commande pour PuTTY – con\u00e7u pour \u00e9tablir un connexion proxy inverse<\/a> \u00e0 un serveur distant et impl\u00e9mente des fonctionnalit\u00e9s de porte d\u00e9rob\u00e9e similaires.<\/p>\n “La meilleure protection contre les attaques modernes consiste \u00e0 mettre en \u0153uvre une architecture de d\u00e9fense en profondeur”, a conclu Zugec. “La premi\u00e8re \u00e9tape de ce processus consiste \u00e0 r\u00e9duire la surface d’attaque, ce qui implique de limiter le nombre de points d’entr\u00e9e que les attaquants peuvent utiliser pour acc\u00e9der \u00e0 vos syst\u00e8mes et de corriger rapidement les vuln\u00e9rabilit\u00e9s nouvellement d\u00e9couvertes.”<\/p>\n <\/p>\n