Une cyberattaque tr\u00e8s cibl\u00e9e contre une soci\u00e9t\u00e9 informatique d’Asie de l’Est a impliqu\u00e9 le d\u00e9ploiement d’un logiciel malveillant personnalis\u00e9 \u00e9crit en Golang appel\u00e9 RDStealer<\/strong>.<\/p>\n “L’op\u00e9ration a \u00e9t\u00e9 active pendant plus d’un an dans le but final de compromettre les informations d’identification et l’exfiltration de donn\u00e9es”, a d\u00e9clar\u00e9 Victor Vrabie, chercheur en s\u00e9curit\u00e9 chez Bitdefender. a dit<\/a> dans un rapport technique partag\u00e9 avec The Hacker News.<\/p>\n Les preuves recueillies par la soci\u00e9t\u00e9 roumaine de cybers\u00e9curit\u00e9 montrent que la campagne a commenc\u00e9 au d\u00e9but de 2022. La cible \u00e9tait une soci\u00e9t\u00e9 informatique non sp\u00e9cifi\u00e9e situ\u00e9e en Asie de l’Est.<\/p>\n Dans les premi\u00e8res phases, l’op\u00e9ration reposait sur des chevaux de Troie d’acc\u00e8s \u00e0 distance facilement disponibles comme AsyncRAT et Cobalt Strike, avant de passer \u00e0 des logiciels malveillants sur mesure fin 2021 ou d\u00e9but 2022 dans le but de contrecarrer la d\u00e9tection.<\/p>\n Une tactique d’\u00e9vasion principale concerne l’utilisation de dossiers Microsoft Windows susceptibles d’\u00eatre exclus de l’analyse par les logiciels de s\u00e9curit\u00e9 (par exemple, System32 et Program Files) pour stocker les charges utiles de la porte d\u00e9rob\u00e9e.<\/p>\n L’un des sous-dossiers en question est “C:Program FilesDellCommandUpdate”, qui est le r\u00e9pertoire d’une application Dell l\u00e9gitime appel\u00e9e Commande Dell | Mise \u00e0 jour<\/a>.<\/p>\n Bitdefender a d\u00e9clar\u00e9 que toutes les machines infect\u00e9es au cours de l’incident avaient \u00e9t\u00e9 fabriqu\u00e9es par Dell, ce qui sugg\u00e8re que les acteurs de la menace ont d\u00e9lib\u00e9r\u00e9ment choisi ce dossier pour camoufler l’activit\u00e9 malveillante.<\/p>\n Ce raisonnement est renforc\u00e9 par le fait que l’auteur de la menace a enregistr\u00e9 des domaines de commande et de contr\u00f4le (C2) tels que “dell-a[.]mise \u00e0 jour ntp[.]com” dans le but de se fondre dans l’environnement cible.<\/p>\n L’ensemble d’intrusion se caract\u00e9rise par l’utilisation d’une porte d\u00e9rob\u00e9e c\u00f4t\u00e9 serveur appel\u00e9e RDStealer, qui se sp\u00e9cialise dans la collecte continue du contenu du presse-papiers et des donn\u00e9es de frappe de l’h\u00f4te.<\/p>\n Mais ce qui le distingue, c’est sa capacit\u00e9 \u00e0 “surveiller les RDP entrants [Remote Desktop Protocol] connexions et compromettre une machine distante si mappage de lecteur client<\/a> est autoris\u00e9.”<\/p>\n Ainsi, lorsqu’une nouvelle connexion client RDP est d\u00e9tect\u00e9e, des commandes sont \u00e9mises par RDStealer pour exfiltrer les donn\u00e9es sensibles, telles que l’historique de navigation, les informations d’identification et les cl\u00e9s priv\u00e9es d’applications telles que mRemoteNG, KeePass et Google Chrome.<\/p>\n “Cela met en \u00e9vidence le fait que les acteurs de la menace recherchent activement des informations d’identification et des connexions enregistr\u00e9es \u00e0 d’autres syst\u00e8mes”, a d\u00e9clar\u00e9 Marin Zugec de Bitdefender. a dit<\/a> dans une seconde analyse.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n Rejoindre la s\u00e9ance<\/a><\/div>\n De plus, les clients RDP qui se connectent sont infect\u00e9s par un autre logiciel malveillant personnalis\u00e9 bas\u00e9 sur Golang, connu sous le nom de Logutil, pour maintenir un pied persistant sur le r\u00e9seau victime \u00e0 l’aide de Techniques de chargement lat\u00e9ral de DLL<\/a> et faciliter l’ex\u00e9cution des commandes.<\/p>\n On ne sait pas grand-chose sur l’acteur mena\u00e7ant \u00e0 part le fait qu’il est actif depuis au moins 2020.<\/p>\n “Les cybercriminels innovent et explorent continuellement de nouvelles m\u00e9thodes pour am\u00e9liorer la fiabilit\u00e9 et la furtivit\u00e9 de leurs activit\u00e9s malveillantes”, a d\u00e9clar\u00e9 Zugec.<\/p>\n “Cette attaque t\u00e9moigne de la sophistication croissante des cyberattaques modernes, mais souligne \u00e9galement le fait que les acteurs de la menace peuvent tirer parti de leur nouvelle sophistication pour exploiter des technologies plus anciennes et largement adopt\u00e9es.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-cybercriminels-bresiliens-utilisent-les-scripts-LOLBaS-et-CMD-pour.png\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEh_Ng8eXaW2gbPC7MNO2NOELWVOzbY1DDjl8eqsN22ddnxKevN2qD2q3z7lKK3P1y-h0E8vE2R_WuNxI5E1nxapFe5XN4lY5UXmTNMSD_IeyfCUO491oe4rZ86XOOEbMR6c1AMLFEaS0zQlSFuYFSvtiYtQ5Gks3eEYJyAuvP8XzH4scxEP6UmEWfGocrQ\/s728-e365\/malware.jpg\")
<\/div>\n