L’acteur mena\u00e7ant nord-cor\u00e9en connu sous le nom de ScarCruft<\/strong> a commenc\u00e9 \u00e0 exp\u00e9rimenter des fichiers LNK surdimensionn\u00e9s comme voie de livraison pour les logiciels malveillants RokRAT d\u00e8s juillet 2022, le m\u00eame mois o\u00f9 Microsoft a commenc\u00e9 \u00e0 bloquer les macros dans les documents Office par d\u00e9faut.<\/p>\n “RokRAT n’a pas chang\u00e9 de mani\u00e8re significative au fil des ans, mais ses m\u00e9thodes de d\u00e9ploiement ont \u00e9volu\u00e9, utilisant d\u00e9sormais des archives contenant des fichiers LNK qui lancent des cha\u00eenes d’infection \u00e0 plusieurs \u00e9tapes”, Check Point a dit<\/a> dans un nouveau rapport technique.<\/p>\n “Il s’agit d’une autre repr\u00e9sentation d’une tendance majeure dans le paysage des menaces, o\u00f9 les APT et les cybercriminels tentent de surmonter le blocage des macros provenant de sources non fiables.”<\/p>\n ScarCruft, \u00e9galement connu sous les noms APT37, InkySquid, Nickel Foxcroft, Reaper, RedEyes et Ricochet Chollima, est un groupe de menaces qui cible presque exclusivement des individus et des entit\u00e9s sud-cor\u00e9ens dans le cadre d’attaques de harponnage con\u00e7ues pour fournir une gamme d’outils personnalis\u00e9s. .<\/p>\n Le collectif contradictoire, contrairement au groupe Lazarus ou Kimsuky, est supervis\u00e9<\/a> par le minist\u00e8re de la S\u00e9curit\u00e9 d’\u00c9tat de la Cor\u00e9e du Nord (SMS<\/a>), qui est charg\u00e9 des activit\u00e9s de contre-espionnage national et de contre-espionnage \u00e0 l’\u00e9tranger, par Mandiant.<\/p>\n Le principal malware de pr\u00e9dilection du groupe est RokRAT<\/a> (alias DOGCALL), qui a depuis \u00e9t\u00e9 adapt\u00e9 \u00e0 d’autres plates-formes telles que macOS (CloudMensis) et Android (RambleOn), indiquant que la porte d\u00e9rob\u00e9e est activement d\u00e9velopp\u00e9e et maintenue.<\/p>\n RokRAT et ses variantes sont \u00e9quip\u00e9s pour effectuer un large \u00e9ventail d’activit\u00e9s telles que le vol d’informations d’identification, l’exfiltration de donn\u00e9es, la capture d’\u00e9cran, la collecte d’informations syst\u00e8me, l’ex\u00e9cution de commandes et de shellcode, et la gestion de fichiers et de r\u00e9pertoires.<\/p>\n Les informations collect\u00e9es, dont certaines sont stock\u00e9es sous forme de fichiers MP3 pour brouiller les pistes, sont renvoy\u00e9es \u00e0 l’aide de services cloud tels que Dropbox, Microsoft OneDrive, pCloud et Yandex Cloud dans le but de d\u00e9guiser le command-and-control (C2 ) communications comme l\u00e9gitimes.<\/p>\n Parmi les autres logiciels malveillants sur mesure utilis\u00e9s par le groupe figurent, mais sans s’y limiter, Chinotto, BLUELIGHT, GOLDBACKDOOR, Dolphin et, plus r\u00e9cemment, M2RAT. Il est \u00e9galement connu d’utiliser des logiciels malveillants de base tels qu’Amadey, un t\u00e9l\u00e9chargeur qui peut recevoir des commandes de l’attaquant pour t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires, dans le but de confondre l’attribution.<\/p>\n L’utilisation de fichiers LNK comme leurres pour activer les s\u00e9quences d’infection a \u00e9galement \u00e9t\u00e9 mise en \u00e9vidence par le centre de r\u00e9ponse d’urgence de s\u00e9curit\u00e9 AhnLab (ASEC) la semaine derni\u00e8re, avec les fichiers contenant des commandes PowerShell qui d\u00e9ploient le malware RokRAT.<\/p>\n Alors que le changement de mode op\u00e9ratoire signale les efforts de ScarCruft pour suivre l’\u00e9volution de l’\u00e9cosyst\u00e8me des menaces, il a continu\u00e9 \u00e0 exploiter des documents Word malveillants bas\u00e9s sur des macros aussi r\u00e9cemment qu’en avril 2023 pour supprimer le logiciel malveillant, refl\u00e9tant une cha\u00eene similaire qui \u00e9tait signal\u00e9<\/a> par Malwarebytes en janvier 2021.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Une autre vague d’attaques observ\u00e9e d\u00e9but novembre 2022, selon la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9, a utilis\u00e9 des archives ZIP incorporant des fichiers LNK pour d\u00e9ployer le malware Amadey.<\/p>\n “[The LNK file] peut d\u00e9clencher une cha\u00eene d’infection tout aussi efficace par un simple double-clic, une cha\u00eene plus fiable que les exploits de n jours ou les macros Office qui n\u00e9cessitent des clics suppl\u00e9mentaires pour se lancer \u00bb, a d\u00e9clar\u00e9 Check Point.<\/p>\n “APT37 continue de repr\u00e9senter une menace consid\u00e9rable, lan\u00e7ant plusieurs campagnes sur les plates-formes et am\u00e9liorant consid\u00e9rablement ses m\u00e9thodes de diffusion de logiciels malveillants.”<\/p>\n Les d\u00e9couvertes surviennent alors que Kaspersky a divulgu\u00e9 un nouveau malware bas\u00e9 sur Go d\u00e9velopp\u00e9 par ScarCruft et nomm\u00e9 SidLevel qui utilise pour la premi\u00e8re fois le service de messagerie cloud Ably comme m\u00e9canisme C2 et est dot\u00e9 de “capacit\u00e9s \u00e9tendues pour voler des informations sensibles aux victimes”.<\/p>\n “Le groupe continue de cibler des personnes li\u00e9es \u00e0 la Cor\u00e9e du Nord, notamment des romanciers, des \u00e9tudiants universitaires, ainsi que des hommes d’affaires qui semblent renvoyer des fonds en Cor\u00e9e du Nord”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9. indiqu\u00e9<\/a> dans son rapport sur les tendances APT pour le premier trimestre 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1682937111_165_Un-acteur-vietnamien-de-la-menace-infecte-500-000-appareils.png\")
<\/a><\/center><\/div>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1683029157_253_ScarCruft-de-Coree-du-Nord-deploie-le-logiciel-malveillant-RokRAT.png\" "\\"Logiciel")
<\/div>\n