Les clients italiens des services bancaires aux entreprises sont la cible d’une campagne de fraude financi\u00e8re en cours qui s’appuie sur une nouvelle bo\u00eete \u00e0 outils d’injection Web appel\u00e9e drIBAN<\/strong> depuis au moins 2019.<\/p>\n “L’objectif principal des op\u00e9rations de fraude drIBAN est d’infecter les postes de travail Windows dans les environnements d’entreprise en essayant de modifier les virements bancaires l\u00e9gitimes effectu\u00e9s par les victimes en changeant le b\u00e9n\u00e9ficiaire et en transf\u00e9rant de l’argent sur un compte bancaire ill\u00e9gitime”, ont d\u00e9clar\u00e9 les chercheurs de Cleafy Federico Valentini et Alessandro Strino. a dit<\/a>.<\/p>\n Les comptes bancaires, selon la soci\u00e9t\u00e9 italienne de cybers\u00e9curit\u00e9, sont soit contr\u00f4l\u00e9s par les acteurs de la menace eux-m\u00eames, soit par leurs affili\u00e9s, qui sont ensuite charg\u00e9s de blanchir les fonds vol\u00e9s.<\/p>\n L’utilisation d’injections Web est une tactique \u00e9prouv\u00e9e qui permet aux logiciels malveillants d’injecter des scripts personnalis\u00e9s c\u00f4t\u00e9 client au moyen d’une attaque de l’homme dans le navigateur (MitB) et d’intercepter le trafic vers et depuis le serveur.<\/p>\n Les transactions frauduleuses sont souvent r\u00e9alis\u00e9es au moyen d’une technique appel\u00e9e syst\u00e8me de transfert automatis\u00e9 (ATS<\/a>) capable de contourner syst\u00e8mes anti-fraude<\/a> mis en place par les banques et lancer des virements \u00e9lectroniques non autoris\u00e9s<\/a> \u00e0 partir de l’ordinateur de la victime.<\/p>\n Au fil des ans, les op\u00e9rateurs derri\u00e8re drIBAN sont devenus plus avis\u00e9s pour \u00e9viter la d\u00e9tection et d\u00e9velopper des strat\u00e9gies d’ing\u00e9nierie sociale efficaces, en plus de s’implanter pendant de longues p\u00e9riodes dans les r\u00e9seaux bancaires d’entreprise.<\/p>\n Cleafy a d\u00e9clar\u00e9 que 2021 \u00e9tait l’ann\u00e9e o\u00f9 l’op\u00e9ration classique de “cheval de Troie bancaire” s’est transform\u00e9e en une menace persistante avanc\u00e9e. De plus, il y a des indications que le groupe d’activit\u00e9s chevauche un campagne 2018<\/a> mont\u00e9 par un acteur suivi par Proofpoint en tant que TA554 ciblant les utilisateurs au Canada, en Italie et au Royaume-Uni<\/p>\n La cha\u00eene d’attaque commence par un e-mail certifi\u00e9<\/a> (ou e-mail PEC) dans le but d’endormir les victimes dans un faux sentiment de s\u00e9curit\u00e9. Ces e-mails de phishing contiennent un fichier ex\u00e9cutable qui agit comme un t\u00e9l\u00e9chargeur pour un logiciel malveillant appel\u00e9 sCharger<\/a> (alias chargeur Starslord).<\/p>\n Un chargeur PowerShell, sLoad est un outil de reconnaissance qui collecte et exfiltre les informations de l’h\u00f4te compromis, dans le but d’\u00e9valuer la cible et de d\u00e9poser une charge utile plus importante comme Ramnit<\/a> si la cible est jug\u00e9e rentable.<\/p>\n “Cette ‘phase d’enrichissement’ pourrait se poursuivre pendant des jours ou des semaines, selon le nombre de machines infect\u00e9es”, a not\u00e9 Cleafy. “Des donn\u00e9es suppl\u00e9mentaires seront exfiltr\u00e9es pour rendre le botnet r\u00e9sultant de plus en plus solide et coh\u00e9rent.”<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n sLoad tire \u00e9galement parti de la vie hors de la terre (LotL<\/a>) techniques en abusant d’outils Windows l\u00e9gitimes comme PowerShell<\/a> et BITSAdmin<\/a> dans le cadre de ses m\u00e9canismes d’\u00e9vasion.<\/p>\n Une autre caract\u00e9ristique du malware est sa capacit\u00e9 \u00e0 v\u00e9rifier par rapport \u00e0 une liste pr\u00e9d\u00e9finie d’institutions bancaires d’entreprise pour d\u00e9terminer si le poste de travail pirat\u00e9 fait partie des cibles, et si c’est le cas, proc\u00e9der \u00e0 l’infection.<\/p>\n “Tous les bots qui franchissent avec succ\u00e8s ces \u00e9tapes seront s\u00e9lectionn\u00e9s par les op\u00e9rateurs de botnet et consid\u00e9r\u00e9s comme de “nouveaux candidats” pour les op\u00e9rations de fraude bancaire passant \u00e0 l’\u00e9tape suivante, o\u00f9 Ramnit, l’un des chevaux de Troie bancaires les plus avanc\u00e9s, sera install\u00e9”, a d\u00e9clar\u00e9 le ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1682946326_927_Decouverte-de-la-nouvelle-boite-a-outils-de-logiciels-malveillants.png\")
<\/a><\/center><\/div>\n![\"Services](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1683306203_743_Des-pirates-ciblant-les-clients-italiens-des-services-bancaires-aux.png\" "\\"Services")
<\/div>\n