L’acteur d’\u00c9tat-nation iranien connu sous le nom de TA453 a \u00e9t\u00e9 li\u00e9 \u00e0 un nouvel ensemble d’attaques de harponnage qui infectent les syst\u00e8mes d’exploitation Windows et macOS avec des logiciels malveillants.<\/p>\n
“TA453 a finalement utilis\u00e9 une vari\u00e9t\u00e9 de fournisseurs d’h\u00e9bergement cloud pour fournir une nouvelle cha\u00eene d’infection qui d\u00e9ploie la porte d\u00e9rob\u00e9e PowerShell nouvellement identifi\u00e9e GorjolEcho”, Proofpoint a dit<\/a> dans un nouveau rapport.<\/p>\n \u00ab Lorsqu’on lui en a donn\u00e9 l’occasion, TA453 a port\u00e9 son logiciel malveillant et a tent\u00e9 de lancer une cha\u00eene d’infection \u00e0 saveur Apple baptis\u00e9e NokNok. TA453 a \u00e9galement utilis\u00e9 l’usurpation d’identit\u00e9 de plusieurs personnes dans sa qu\u00eate d’espionnage sans fin.<\/p>\n TA453, \u00e9galement connu sous les noms APT35, Charming Kitten, Mint Sandstorm et Yellow Garuda, est un groupe mena\u00e7ant li\u00e9 au Corps des gardiens de la r\u00e9volution islamique (IRGC) iranien qui est actif depuis au moins 2011. Plus r\u00e9cemment, Volexity a soulign\u00e9 l’utilisation par l’adversaire d’une version mise \u00e0 jour d’un implant Powershell appel\u00e9 CharmPower (alias GhostEcho ou POWERSTAR).<\/p>\n Dans la s\u00e9quence d’attaque d\u00e9couverte par la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise \u00e0 la mi-mai 2023, l’\u00e9quipe de piratage a envoy\u00e9 des e-mails de phishing \u00e0 un expert en s\u00e9curit\u00e9 nucl\u00e9aire d’un groupe de r\u00e9flexion am\u00e9ricain ax\u00e9 sur les affaires \u00e9trang\u00e8res qui a fourni un lien malveillant vers une macro Google Script qui rediriger la cible vers une URL Dropbox h\u00e9bergeant une archive RAR.<\/p>\n Pr\u00e9sent dans le fichier se trouve un compte-gouttes LNK qui lance une proc\u00e9dure en plusieurs \u00e9tapes pour finalement d\u00e9ployer GorjolEcho, qui, \u00e0 son tour, affiche un document PDF leurre, tout en attendant secr\u00e8tement les charges utiles de la prochaine \u00e9tape \u00e0 partir d’un serveur distant.<\/p>\n Mais en r\u00e9alisant que la cible utilise un ordinateur Apple, TA453 aurait modifi\u00e9 son mode op\u00e9ratoire pour envoyer un deuxi\u00e8me e-mail avec une archive ZIP incorporant un binaire Mach-O qui se fait passer pour une application VPN, mais en r\u00e9alit\u00e9, est un AppleScript qui contacte un serveur distant pour t\u00e9l\u00e9charger une porte d\u00e9rob\u00e9e bas\u00e9e sur un script Bash appel\u00e9e NokNok.<\/p>\n \ud83d\udd10 Gestion des acc\u00e8s privil\u00e9gi\u00e9s\u00a0: apprenez \u00e0 relever les principaux d\u00e9fis<\/p>\n <\/a><\/p>\n D\u00e9couvrez diff\u00e9rentes approches pour relever les d\u00e9fis de la gestion des comptes privil\u00e9gi\u00e9s (PAM) et am\u00e9liorer votre strat\u00e9gie de s\u00e9curit\u00e9 des acc\u00e8s privil\u00e9gi\u00e9s.<\/p>\n R\u00e9servez votre place<\/a><\/section>\n NokNok, pour sa part, r\u00e9cup\u00e8re jusqu’\u00e0 quatre modules capables de rassembler les processus en cours d’ex\u00e9cution, les applications install\u00e9es et les m\u00e9tadonn\u00e9es du syst\u00e8me, ainsi que de d\u00e9finir la persistance \u00e0 l’aide de LaunchAgents.<\/p>\n Les modules “refl\u00e8tent la majorit\u00e9 des fonctionnalit\u00e9s” des modules associ\u00e9s \u00e0 CharmPower, NokNok partageant certains chevauchements de code source avec logiciels malveillants macOS<\/a> pr\u00e9c\u00e9demment attribu\u00e9 au groupe en 2017.<\/p>\n L’acteur utilise \u00e9galement un faux site Web de partage de fichiers qui fonctionne probablement pour prendre les empreintes digitales des visiteurs et agir comme un m\u00e9canisme pour suivre les victimes r\u00e9ussies.<\/p>\n “TA453 continue d’adapter son arsenal de logiciels malveillants, en d\u00e9ployant de nouveaux types de fichiers et en ciblant de nouveaux syst\u00e8mes d’exploitation”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant que l’acteur “continue de travailler vers ses m\u00eames objectifs finaux de reconnaissance intrusive et non autoris\u00e9e” tout en compliquant simultan\u00e9ment les efforts de d\u00e9tection.<\/p>\n <\/p>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1688668850_847_Les-logiciels-malveillants-sophistiques-des-pirates-iraniens-ciblent-les-utilisateurs.jpg\" "\\"Logiciel")
<\/div>\n