L’acteur nord-cor\u00e9en connu sous le nom de ScarCruft a \u00e9t\u00e9 observ\u00e9 en train d’utiliser un logiciel malveillant voleur d’informations avec des fonctionnalit\u00e9s d’\u00e9coute \u00e9lectronique non document\u00e9es ainsi qu’une porte d\u00e9rob\u00e9e d\u00e9velopp\u00e9e \u00e0 l’aide de Golang qui exploite le service de messagerie en temps r\u00e9el Ably.<\/p>\n
“L’acteur de la menace a envoy\u00e9 ses commandes via la porte d\u00e9rob\u00e9e Golang qui utilise le service Ably”, a d\u00e9clar\u00e9 le centre d’intervention d’urgence de s\u00e9curit\u00e9 AhnLab (ASEC). a dit<\/a> dans un rapport technique. “La valeur de la cl\u00e9 API requise pour la communication des commandes a \u00e9t\u00e9 enregistr\u00e9e dans un r\u00e9f\u00e9rentiel GitHub.”<\/p>\n ScarCruft est une organisation parrain\u00e9e par l’\u00c9tat ayant des liens avec le minist\u00e8re de la S\u00e9curit\u00e9 d’\u00c9tat (MSS) de la Cor\u00e9e du Nord. Il est connu pour \u00eatre actif depuis au moins 2012.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par le groupe impliquent l’utilisation de leurres de harponnage pour fournir RokRAT, bien qu’il ait exploit\u00e9 un large \u00e9ventail d’autres outils personnalis\u00e9s pour r\u00e9colter des informations sensibles.<\/p>\n Dans la derni\u00e8re intrusion d\u00e9tect\u00e9e par l’ASEC, l’e-mail contient un fichier Microsoft Compiled HTML Help (.CHM) – une tactique signal\u00e9e pour la premi\u00e8re fois en mars 2023 – qui, lorsqu’il est cliqu\u00e9, contacte un serveur distant pour t\u00e9l\u00e9charger un malware PowerShell connu sous le nom de Chinotto .<\/p>\n Chinotto, en plus d’\u00eatre responsable de la mise en place de la persistance, de la r\u00e9cup\u00e9ration de charges utiles suppl\u00e9mentaires, y compris une porte d\u00e9rob\u00e9e nomm\u00e9e AblyGo (alias SidLevel par Kaspersky) qui abuse de l’Ably pour le commandement et le contr\u00f4le.<\/p>\n Cela ne s’arr\u00eate pas l\u00e0, car AblyGo est utilis\u00e9 comme un conduit pour finalement ex\u00e9cuter un malware voleur d’informations appel\u00e9 FadeStealer qui est livr\u00e9 avec diverses fonctionnalit\u00e9s pour prendre des captures d’\u00e9cran, collecter des donn\u00e9es \u00e0 partir de supports amovibles et de smartphones, enregistrer les frappes au clavier et enregistrer le microphone.<\/p>\n “Le groupe RedEyes m\u00e8ne des attaques contre des individus sp\u00e9cifiques tels que des transfuges nord-cor\u00e9ens, des militants des droits de l’homme et des professeurs d’universit\u00e9”, a d\u00e9clar\u00e9 l’ASEC. “Leur objectif principal est le vol d’informations.”<\/p>\n “L’\u00e9coute clandestine non autoris\u00e9e d’individus en Cor\u00e9e du Sud est consid\u00e9r\u00e9e comme une violation de la vie priv\u00e9e et est strictement r\u00e9glement\u00e9e par les lois en vigueur. Malgr\u00e9 cela, l’acteur mena\u00e7ant a surveill\u00e9 tout ce que les victimes faisaient sur leur PC et a m\u00eame proc\u00e9d\u00e9 \u00e0 des \u00e9coutes t\u00e9l\u00e9phoniques.”<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n Rejoindre la s\u00e9ance<\/a><\/div>\n Les fichiers CHM ont \u00e9galement \u00e9t\u00e9 utilis\u00e9s par d’autres groupes affili\u00e9s \u00e0 la Cor\u00e9e du Nord tels que Kimsuky, avec SentinelOne divulguant une campagne r\u00e9cente tirant parti du format de fichier pour fournir un outil de reconnaissance appel\u00e9 RandomQuery.<\/p>\n Dans un nouvelle s\u00e9rie d’attaques<\/a> rep\u00e9r\u00e9s par l’ASEC, les fichiers CHM sont configur\u00e9s pour d\u00e9poser un fichier BAT, qui est ensuite utilis\u00e9 pour t\u00e9l\u00e9charger les logiciels malveillants de la prochaine \u00e9tape et exfiltrer les informations utilisateur de l’h\u00f4te compromis.<\/p>\n Selon un avis des agences de renseignement am\u00e9ricaines et sud-cor\u00e9ennes, le harponnage, qui est la technique d’acc\u00e8s initiale pr\u00e9f\u00e9r\u00e9e de Kimsuky depuis plus d’une d\u00e9cennie, est g\u00e9n\u00e9ralement pr\u00e9c\u00e9d\u00e9 de recherches approfondies et d’une pr\u00e9paration m\u00e9ticuleuse.<\/p>\n Les conclusions suivent \u00e9galement les recommandations du groupe Lazarus exploitation active<\/a> des failles de s\u00e9curit\u00e9 dans les logiciels tels que INISAFE CrossWeb EX<\/a>, MagicLine4NX<\/a>, TCO!Stream<\/a>et VestCert<\/a> qui sont largement utilis\u00e9s en Cor\u00e9e du Sud pour violer les entreprises et d\u00e9ployer des logiciels malveillants.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgJAjUQq6Q-jnCUYYsXW9S62xJXyCmVlxF__fI5R0hdBdqBD6x-3aAoH7eBcc_FJ1C5b7gUMEbhDvqoDNQli6GCY7zdtiROqBsEwJdQK0GJsddjJY20zaFbXObbbtlW838TLd_DI5fQQ-ug4-jw3mfW8-n6MUytcojduvyOtnjbOxtv7BM36WV4bPSbLQ\/s728-e200\/netspi-728-2.jpg\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-pirates-de-ScarCruft-exploitent-le-service-Ably-pour-des.png\")
<\/div>\n