Des entit\u00e9s gouvernementales, des organisations militaires et des utilisateurs civils en Ukraine et en Pologne ont \u00e9t\u00e9 cibl\u00e9s dans le cadre d’une s\u00e9rie de campagnes con\u00e7ues pour voler des donn\u00e9es sensibles et obtenir un acc\u00e8s \u00e0 distance persistant aux syst\u00e8mes infect\u00e9s.<\/p>\n
L’ensemble d’intrusions, qui s’\u00e9tend d’avril 2022 \u00e0 juillet 2023, exploite des leurres de phishing et des documents leurres pour d\u00e9ployer un logiciel malveillant de t\u00e9l\u00e9chargement appel\u00e9 PicassoLoader, qui agit comme un conduit pour lancer Cobalt Strike Beacon et njRAT.<\/p>\n
“Les attaques ont utilis\u00e9 une cha\u00eene d’infection en plusieurs \u00e9tapes initi\u00e9e avec des documents Microsoft Office malveillants, utilisant le plus souvent les formats de fichiers Microsoft Excel et PowerPoint”, a d\u00e9clar\u00e9 Vanja Svajcer, chercheuse chez Cisco Talos. a dit<\/a> dans un nouveau rapport. “Cela a \u00e9t\u00e9 suivi par un t\u00e9l\u00e9chargeur ex\u00e9cutable et une charge utile dissimul\u00e9s dans un fichier image, susceptibles de rendre sa d\u00e9tection plus difficile.”<\/p>\n Quelques<\/a> de la activit\u00e9s<\/a> ont \u00e9t\u00e9 attribu\u00e9s \u00e0 un acteur mena\u00e7ant appel\u00e9 GhostWriter (alias UAC-0057 ou UNC1151), dont les priorit\u00e9s s’aligneraient sur celles du gouvernement bi\u00e9lorusse.<\/p>\n Il convient de noter qu’un sous-ensemble de ces attaques a d\u00e9j\u00e0 \u00e9t\u00e9 document\u00e9 au cours de l’ann\u00e9e \u00e9coul\u00e9e par l’\u00e9quipe ukrainienne d’intervention d’urgence informatique (CERT-UA) et Fortinet FortiGuard Labs, dont l’un a utilis\u00e9 des documents PowerPoint charg\u00e9s de macros pour livrer le malware Agent Tesla en juillet 2022. .<\/p>\n Les cha\u00eenes d’infection visent \u00e0 convaincre les victimes d’activer les macros, avec la macro VBA con\u00e7ue pour d\u00e9poser un t\u00e9l\u00e9chargeur de DLL connu sous le nom de PicassoLoader qui s’adresse ensuite \u00e0 un site contr\u00f4l\u00e9 par un attaquant pour r\u00e9cup\u00e9rer la charge utile de l’\u00e9tape suivante, un fichier image l\u00e9gitime qui int\u00e8gre la finale logiciels malveillants.<\/p>\n La divulgation intervient alors que CERT-UA a d\u00e9taill\u00e9 un nombre<\/a> de Hame\u00e7onnage<\/a> op\u00e9rations<\/a> distribuant le malware SmokeLoader ainsi qu’un attaque par fracas<\/a> con\u00e7u pour obtenir un contr\u00f4le non autoris\u00e9 des comptes Telegram des cibles.<\/p>\n Le mois dernier, le CERT-UA a divulgu\u00e9 un campagne de cyberespionnage<\/a> destin\u00e9 aux organisations \u00e9tatiques et aux repr\u00e9sentants des m\u00e9dias en Ukraine qui utilisent le courrier \u00e9lectronique et les messageries instantan\u00e9es pour distribuer des fichiers, ce qui, une fois lanc\u00e9, entra\u00eene l’ex\u00e9cution d’un script PowerShell appel\u00e9 LONEPAGE pour r\u00e9cup\u00e9rer le voleur de navigateur (THUMBCHOP) et l’enregistreur de frappe (CLOGFLAG ) charges utiles.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n GhostWriter est l’un des nombreux acteurs mena\u00e7ants qui ont jet\u00e9 leur d\u00e9volu sur l’Ukraine. Cela inclut \u00e9galement le groupe d’\u00c9tats-nations russe APT28, qui a \u00e9t\u00e9 observ\u00e9<\/a> l’utilisation de pi\u00e8ces jointes HTML dans des e-mails de phishing qui invitent les destinataires \u00e0 modifier leur UKR.NET et Yahoo! mots de passe en raison d’une activit\u00e9 suspecte d\u00e9tect\u00e9e dans leurs comptes afin de les rediriger vers de fausses pages de destination qui volent finalement leurs informations d’identification.<\/p>\n Le d\u00e9veloppement fait \u00e9galement suite \u00e0 l’adoption d’un “livre de jeu standard en cinq phases” par des pirates informatiques associ\u00e9s au renseignement militaire russe (GRU) dans leurs op\u00e9rations perturbatrices contre l’Ukraine dans un “effort d\u00e9lib\u00e9r\u00e9 pour augmenter la vitesse, l’\u00e9chelle et l’intensit\u00e9” de leurs attaques. .<\/p>\n Cela consiste \u00e0 tirer parti de l’infrastructure de vie \u00e0 la pointe pour obtenir un acc\u00e8s initial, en utilisant des techniques de vie hors du terrain pour effectuer des reconnaissances, des mouvements lat\u00e9raux et le vol d’informations afin de limiter leur empreinte de logiciels malveillants et d’\u00e9chapper \u00e0 la d\u00e9tection, cr\u00e9ant un acc\u00e8s persistant et privil\u00e9gi\u00e9. via des objets de strat\u00e9gie de groupe (GPO), en d\u00e9ployant des essuie-glaces et en t\u00e9l\u00e9graphiant leurs actes via des personnages hacktivistes sur Telegram.<\/p>\n “Les avantages offerts par le playbook sont particuli\u00e8rement adapt\u00e9s \u00e0 un environnement op\u00e9rationnel rapide et tr\u00e8s contest\u00e9, ce qui indique que les objectifs de guerre de la Russie ont probablement guid\u00e9 les plans d’action tactiques choisis par le GRU”, a d\u00e9clar\u00e9 Mandiant, propri\u00e9t\u00e9 de Google. a dit<\/a>.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689268057_946_Logiciel-malveillant-PicassoLoader-utilise-dans-les-attaques-en-cours-contre.jpg\")
<\/div>\n