Un groupe de cyber-espionnage russophone peu connu a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle campagne de surveillance \u00e0 motivation politique ciblant des hauts fonctionnaires, des services de t\u00e9l\u00e9communications et des infrastructures de service public au Tadjikistan.<\/p>\n
L’ensemble d’intrusion, surnomm\u00e9 Punaise de papier<\/strong> par la soci\u00e9t\u00e9 suisse de cybers\u00e9curit\u00e9 PRODAFT, a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur mena\u00e7ant connu sous le nom de Poulpe nomade<\/strong> (alias DustSquad).<\/p>\n “Les types de machines compromises vont des ordinateurs individuels aux [operational technology] appareils \u00bb, a d\u00e9clar\u00e9 PRODAFT dans un rapport technique approfondi partag\u00e9 avec The Hacker News. \u00ab Ces cibles rendent l’op\u00e9ration \u00ab Paperbug \u00bb ax\u00e9e sur le renseignement.<\/p>\n Le motif ultime des attaques n’est pas clair \u00e0 ce stade, mais la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9voqu\u00e9 la possibilit\u00e9 qu’il s’agisse de l’\u0153uvre des forces de l’opposition dans le pays ou, alternativement, d’une mission de collecte de renseignements men\u00e9e par la Russie ou la Chine.<\/p>\n Nomadic Octopus est apparu pour la premi\u00e8re fois en octobre 2018 lorsque ESET<\/a> et Kaspersky<\/a> a d\u00e9taill\u00e9 une s\u00e9rie d’attaques de phishing mont\u00e9es par l’acteur contre plusieurs pays d’Asie centrale. On estime que le groupe est actif depuis au moins 2014.<\/p>\n Les cyberoffensives ont impliqu\u00e9 l’utilisation de logiciels malveillants Android et Windows personnalis\u00e9s pour frapper un m\u00e9lange d’entit\u00e9s de grande valeur comme les gouvernements locaux, les missions diplomatiques et les blogueurs politiques, ce qui soul\u00e8ve la possibilit\u00e9 que l’acteur mena\u00e7ant soit probablement impliqu\u00e9 dans des op\u00e9rations de cybersurveillance.<\/p>\n Le malware Windows, surnomm\u00e9 Pieuvre<\/a> et qui se faisait passer pour une version alternative de l’application de messagerie Telegram, est un outil bas\u00e9 sur Delphi qui permet \u00e0 l’adversaire de surveiller les victimes, de siphonner des donn\u00e9es sensibles et d’acc\u00e9der par une porte d\u00e9rob\u00e9e \u00e0 leurs syst\u00e8mes via un panneau de commande et de contr\u00f4le (C2).<\/p>\n Une analyse ult\u00e9rieure par S\u00e9curit\u00e9<\/a> en d\u00e9cembre 2019 a mis en \u00e9vidence les attaques du groupe de menace persistante avanc\u00e9e (APT) contre le minist\u00e8re des Affaires \u00e9trang\u00e8res de l’Ouzb\u00e9kistan pour d\u00e9ployer Octopus.<\/p>\n Les conclusions de PRODAFT sont le fruit de la d\u00e9couverte d’un environnement op\u00e9rationnel g\u00e9r\u00e9 par Nomadic Octopus depuis 2020, faisant de Paperbug la premi\u00e8re campagne orchestr\u00e9e par le groupe depuis Octopus.<\/p>\n Selon les donn\u00e9es recueillies par l’entreprise, l’acteur mena\u00e7ant a r\u00e9ussi \u00e0 acc\u00e9der au r\u00e9seau d’une entreprise de t\u00e9l\u00e9communications, avant de se d\u00e9placer lat\u00e9ralement vers plus d’une douzaine de cibles se concentrant sur les r\u00e9seaux gouvernementaux, les cadres et les appareils OT pr\u00e9sentant des vuln\u00e9rabilit\u00e9s connues du public. On ne sait pas exactement comment et quand le r\u00e9seau de t\u00e9l\u00e9communication a \u00e9t\u00e9 infiltr\u00e9.<\/p>\n “L’op\u00e9ration PaperBug s’aligne sur la tendance commune d’attaquer les infrastructures gouvernementales d’Asie centrale qui sont r\u00e9cemment devenues plus importantes”, a not\u00e9 PRODAFT.<\/p>\n On pense que Nomadic Octopus fait preuve d’un certain niveau de coop\u00e9ration avec un autre acteur d’\u00c9tat-nation russe connu sous le nom de Sofacy (alias APT28, Fancy Bear, Forest Blizzard ou FROZENLAKE), bas\u00e9 sur victimologie<\/a> chevauchements.<\/p>\n Les derni\u00e8res attaques impliquaient en outre l’utilisation d’une variante d’Octopus dot\u00e9e de fonctionnalit\u00e9s permettant de prendre des captures d’\u00e9cran, d’ex\u00e9cuter des commandes \u00e0 distance et de t\u00e9l\u00e9charger et de t\u00e9l\u00e9charger des fichiers vers et depuis l’h\u00f4te infect\u00e9 vers un serveur distant. Un tel artefact<\/a> a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 sur VirusTotal le 1er avril 2021.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n![\"Motiv\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682605161_705_Paperbug-Attack-nouvelle-campagne-de-surveillance-politiquement-motivee-au-Tadjikistan.png\" "\\"Motiv\u00e9")
<\/div>\n