{"id":775530,"date":"2023-06-09T13:36:25","date_gmt":"2023-06-09T15:36:25","guid":{"rendered":"https:\/\/teknomers.com\/fr\/asylum-embuscade-un-groupe-cybercriminel-aux-ambitions-despionnage\/"},"modified":"2023-06-09T13:36:28","modified_gmt":"2023-06-09T15:36:28","slug":"asylum-embuscade-un-groupe-cybercriminel-aux-ambitions-despionnage","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/asylum-embuscade-un-groupe-cybercriminel-aux-ambitions-despionnage\/","title":{"rendered":"Asylum Embuscade\u00a0: un groupe cybercriminel aux ambitions d’espionnage"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>09 juin 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cybercriminalit\u00e9 \/ APT<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

L’acteur mena\u00e7ant connu sous le nom de Embuscade d’asile<\/strong> a \u00e9t\u00e9 observ\u00e9e \u00e0 cheval sur des op\u00e9rations de cybercriminalit\u00e9 et de cyberespionnage depuis au moins d\u00e9but 2020.<\/p>\n

“Il s’agit d’un groupe de logiciels criminels qui cible les clients des banques et les commer\u00e7ants de crypto-monnaie dans diverses r\u00e9gions, y compris l’Am\u00e9rique du Nord et l’Europe”, a d\u00e9clar\u00e9 ESET. a dit<\/a> dans une analyse publi\u00e9e jeudi. “Asylum Ambuscade fait \u00e9galement de l’espionnage contre des entit\u00e9s gouvernementales en Europe et en Asie centrale.”<\/p>\n

Asylum Ambuscade a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Proofpoint en mars 2022 comme une campagne de phishing parrain\u00e9e par un \u00c9tat-nation qui ciblait des entit\u00e9s gouvernementales europ\u00e9ennes dans le but d’obtenir des renseignements sur les mouvements de r\u00e9fugi\u00e9s et d’approvisionnement dans la r\u00e9gion.<\/p>\n

L’objectif des attaquants, selon la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9, est de siphonner les informations confidentielles et les identifiants de messagerie Web des portails de messagerie officiels du gouvernement.<\/p>\n

\"La<\/a><\/center><\/div>\n

Les attaques commencent par un e-mail de harponnage contenant une pi\u00e8ce jointe de feuille de calcul Excel malveillante qui, lorsqu’elle est ouverte, exploite soit le code VBA, soit la vuln\u00e9rabilit\u00e9 Follina (CVE-2022-30190) pour t\u00e9l\u00e9charger un package MSI \u00e0 partir d’un serveur distant.<\/p>\n

Le programme d’installation, pour sa part, d\u00e9ploie un t\u00e9l\u00e9chargeur \u00e9crit en Lua appel\u00e9 SunSeed (ou son \u00e9quivalent Visual Basic Script) qui, \u00e0 son tour, r\u00e9cup\u00e8re un malware bas\u00e9 sur AutoHotkey connu sous le nom de AHK Bot \u00e0 partir d’un serveur distant.<\/p>\n

Ce qui est remarquable \u00e0 propos d’Asylum Ambuscade, c’est sa fr\u00e9n\u00e9sie de cybercriminalit\u00e9 qui a fait plus de 4 500 victimes \u00e0 travers le monde depuis janvier 2022, dont la majorit\u00e9 se trouve en Am\u00e9rique du Nord, en Asie, en Afrique, en Europe et en Am\u00e9rique du Sud.<\/p>\n

\"Cyber-attaque\"<\/div>\n

“Le ciblage est tr\u00e8s large et comprend principalement des particuliers, des commer\u00e7ants de crypto-monnaie et des petites et moyennes entreprises (PME) dans divers secteurs verticaux”, a d\u00e9clar\u00e9 Matthieu Faou, chercheur chez ESET.<\/p>\n

Alors qu’un aspect des attaques est con\u00e7u pour voler la crypto-monnaie, le ciblage des PME est probablement une tentative de mon\u00e9tiser l’acc\u00e8s en le vendant \u00e0 d’autres groupes cybercriminels pour des profits illicites.<\/p>\n

La cha\u00eene de compromis suit un sch\u00e9ma similaire \u00e0 l’exception du vecteur d’intrusion initial, qui implique l’utilisation d’une annonce Google malveillante ou d’un syst\u00e8me de direction du trafic (TDS) pour rediriger les victimes potentielles vers un faux site Web fournissant un fichier JavaScript contenant des logiciels malveillants.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

\ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n

D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n

Rejoindre la s\u00e9ance<\/a><\/div>\n

Les attaques ont \u00e9galement utilis\u00e9 une version Node.js d’AHK Bot nomm\u00e9e NODEBOT qui est ensuite utilis\u00e9e pour t\u00e9l\u00e9charger des plugins charg\u00e9s de prendre des captures d’\u00e9cran, de piller les mots de passe, de collecter des informations syst\u00e8me et d’installer des chevaux de Troie et des voleurs suppl\u00e9mentaires.<\/p>\n

Compte tenu des cha\u00eenes d’attaque presque identiques dans les efforts de cybercriminalit\u00e9 et d’espionnage, on soup\u00e7onne que “Asylum Ambuscade est un groupe de cybercriminalit\u00e9 qui fait du cyberespionnage en parall\u00e8le”.<\/p>\n

Les chevauchements s’\u00e9tendent \u00e9galement \u00e0 un autre cluster d’activit\u00e9s appel\u00e9 Screentime, connu pour cibler des entreprises aux \u00c9tats-Unis et en Allemagne avec des logiciels malveillants sur mesure con\u00e7us pour voler des informations confidentielles. Proofpoint suit l’auteur de la menace sous le nom de TA866.<\/p>\n

“Il est assez inhabituel d’attraper un groupe de cybercriminalit\u00e9 ex\u00e9cutant des op\u00e9rations de cyberespionnage d\u00e9di\u00e9es”, a d\u00e9clar\u00e9 Faou, ce qui en fait une raret\u00e9 dans le paysage des menaces.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n