Un acteur de menace persistante avanc\u00e9e (APT) non d\u00e9tect\u00e9 auparavant surnomm\u00e9 Dard rouge<\/strong> est li\u00e9e \u00e0 des attaques visant l’Europe de l’Est depuis 2020.<\/p>\n “L’arm\u00e9e, les transports et les infrastructures critiques \u00e9taient quelques-unes des entit\u00e9s cibl\u00e9es, ainsi que certaines impliqu\u00e9es dans le R\u00e9f\u00e9rendums de septembre en Ukraine orientale<\/a>“, Malwarebytes a r\u00e9v\u00e9l\u00e9 dans un rapport<\/a> publi\u00e9 aujourd’hui.<\/p>\n “Selon la campagne, les attaquants ont r\u00e9ussi \u00e0 exfiltrer des instantan\u00e9s, des cl\u00e9s USB, des frappes au clavier et des enregistrements de microphone.”<\/p>\n Red Stinger chevauche un cluster de menaces que Kaspersky a r\u00e9v\u00e9l\u00e9 sous le nom de Bad Magic le mois dernier comme ayant cibl\u00e9 des organisations gouvernementales, agricoles et de transport situ\u00e9es \u00e0 Donetsk, Lugansk et Crim\u00e9e l’ann\u00e9e derni\u00e8re.<\/p>\n Bien qu’il y ait des indications que le groupe APT pourrait \u00eatre actif depuis au moins septembre 2021, les derni\u00e8res d\u00e9couvertes de Malwarebytes repoussent les origines du groupe de pr\u00e8s d’un an, la premi\u00e8re op\u00e9ration ayant eu lieu en d\u00e9cembre 2020.<\/p>\n La cha\u00eene d’attaque, \u00e0 l’\u00e9poque, aurait exploit\u00e9 des fichiers d’installation malveillants pour d\u00e9poser l’implant DBoxShell (alias PowerMagic) sur des syst\u00e8mes compromis. Le fichier MSI, quant \u00e0 lui, est t\u00e9l\u00e9charg\u00e9 au moyen d’un fichier de raccourci Windows contenu dans une archive ZIP.<\/p>\n Il a \u00e9t\u00e9 observ\u00e9 que des vagues ult\u00e9rieures d\u00e9tect\u00e9es en avril et septembre 2021 exploitaient des cha\u00eenes d’attaque similaires, mais avec des variations mineures dans les noms de fichiers MSI.<\/p>\n Une quatri\u00e8me s\u00e9rie d’attaques a co\u00efncid\u00e9 avec le d\u00e9but de l’invasion militaire russe de l’Ukraine en f\u00e9vrier 2022. La derni\u00e8re activit\u00e9 connue associ\u00e9e \u00e0 Red Stinger a eu lieu en septembre 2022, comme l’a document\u00e9 Kaspersky.<\/p>\n “DBoxShell est un logiciel malveillant qui utilise les services de stockage en nuage comme m\u00e9canisme de commande et de contr\u00f4le (C&C)”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Roberto Santos et Hossein Jazi.<\/p>\n “Cette \u00e9tape sert de point d’entr\u00e9e pour les attaquants, leur permettant d’\u00e9valuer si les cibles sont int\u00e9ressantes ou non, ce qui signifie que dans cette phase, ils utiliseront diff\u00e9rents outils.”<\/p>\n La cinqui\u00e8me op\u00e9ration est \u00e9galement remarquable pour fournir une alternative \u00e0 DBoxShell appel\u00e9e GraphShell, ainsi nomm\u00e9e pour son utilisation de l’API Microsoft Graph \u00e0 des fins C&C.<\/p>\n La phase d’infection initiale est suivie par l’acteur de la menace qui d\u00e9ploie des artefacts suppl\u00e9mentaires tels que ngrok<\/a>, rsockstun<\/a> (un utilitaire de tunnellisation invers\u00e9e) et un binaire pour exfiltrer les donn\u00e9es des victimes vers un compte Dropbox contr\u00f4l\u00e9 par un acteur.<\/p>\n L’ampleur exacte des infections n’est pas claire, bien que les preuves indiquent deux victimes situ\u00e9es dans le centre de l’Ukraine \u2013 une cible militaire et un officier travaillant dans des infrastructures critiques \u2013 qui ont \u00e9t\u00e9 compromises dans le cadre des attaques de f\u00e9vrier 2022.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1682946326_927_Decouverte-de-la-nouvelle-boite-a-outils-de-logiciels-malveillants.png\")
<\/a><\/center><\/div>\n![\"Dard](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1683823826_212_Le-nouveau-groupe-APT-Red-Stinger-cible-les-infrastructures-militaires.png\" "\\"Dard")
<\/div>\n