L’acteur mena\u00e7ant russe connu sous le nom de Ver de mer<\/strong> a poursuivi sa vague de cyberattaques contre des entit\u00e9s ukrainiennes dans le but de voler des informations sensibles dans des environnements compromis.<\/p>\n Les cibles des r\u00e9centes intrusions, qui ont commenc\u00e9 en f\u00e9vrier\/mars 2023, comprennent les services de s\u00e9curit\u00e9, les organisations militaires et gouvernementales, Symantec a dit<\/a> dans un nouveau rapport partag\u00e9 avec The Hacker News.<\/p>\n “Dans certains cas, le groupe russe a r\u00e9ussi \u00e0 organiser des intrusions de longue dur\u00e9e, pouvant durer jusqu’\u00e0 trois mois”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n “Les attaquants ont tent\u00e9 \u00e0 plusieurs reprises d’acc\u00e9der et de voler des informations sensibles telles que des rapports sur la mort de militaires ukrainiens, des rapports d’engagements et de frappes a\u00e9riennes ennemis, des rapports d’inventaire d’arsenal, des rapports d’entra\u00eenement, etc.”<\/p>\n Shuckworm, \u00e9galement connu sous les noms d’Aqua Blizzard (anciennement Actinium), Armageddon, Gamaredon, Iron Tilden, Primitive Bear, Trident Ursa, UNC530 et Winterflounder, est attribu\u00e9 au Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 (FSB) de Russie. On dit qu’il est actif depuis au moins 2013.<\/p>\n Les activit\u00e9s de cyberespionnage consistent en des campagnes de harponnage con\u00e7ues pour inciter les victimes \u00e0 ouvrir des pi\u00e8ces jointes pi\u00e9g\u00e9es, ce qui conduit finalement au d\u00e9ploiement de voleurs d’informations tels que Giddome, Pterodo, GammaLoad et GammaSteel sur des h\u00f4tes infect\u00e9s.<\/p>\n “Iron Tilden sacrifie une partie de la s\u00e9curit\u00e9 op\u00e9rationnelle au profit d’op\u00e9rations \u00e0 cadence \u00e9lev\u00e9e, ce qui signifie que leur infrastructure est identifiable gr\u00e2ce \u00e0 l’utilisation r\u00e9guli\u00e8re de fournisseurs de DNS dynamique sp\u00e9cifiques, de fournisseurs d’h\u00e9bergement russes et de techniques d’injection de mod\u00e8les \u00e0 distance”, a d\u00e9clar\u00e9 Secureworks. Remarques<\/a> dans son profil d’acteur mena\u00e7ant.<\/p>\n Dans la derni\u00e8re s\u00e9rie d’attaques d\u00e9taill\u00e9es par Symantec, les acteurs de la menace ont \u00e9t\u00e9 observ\u00e9s en utilisant un nouveau script PowerShell pour propager la porte d\u00e9rob\u00e9e Pterodo via des cl\u00e9s USB.<\/p>\n Alors que l’utilisation par Shuckworm des canaux Telegram pour r\u00e9cup\u00e9rer l’adresse IP du serveur h\u00e9bergeant les charges utiles est bien document\u00e9e, l’auteur de la menace aurait \u00e9tendu la technique pour stocker les adresses de commande et de contr\u00f4le (C2) sur Telegraph, une plateforme de blogs appartenant \u00e0 T\u00e9l\u00e9gramme.<\/p>\n Le groupe utilise \u00e9galement un script PowerShell (“foto.safe”) qui se propage via des pilotes USB compromis et offre des capacit\u00e9s pour t\u00e9l\u00e9charger des logiciels malveillants suppl\u00e9mentaires sur l’h\u00f4te.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjUiPMb1sJUWHSy0dES4722CWYLQekQ3FcBtdVBXRn-uaaYRJstH1_g_4kLUEhfLEMNmIBeAl5gVtvIOLzGI47i72f4Sm7U5CoplxKa0reRw0Yh2nQpJCqbWrdTiGCaKrlp4dk2gUKPBDB1VG_VtbRIyuQW-RHL8nY_czt9SXV6PgWiu3_THhXy8zl0cQ\/s728-e200\/netspi-728-1.png\")
<\/a><\/center><\/div>\n