{"id":834125,"date":"2023-07-17T06:15:39","date_gmt":"2023-07-17T08:15:39","guid":{"rendered":"https:\/\/teknomers.com\/fr\/le-cert-ua-decouvre-les-tactiques-dexfiltration-rapide-des-donnees-de-gamaredon-suite-a-un-compromis-initial\/"},"modified":"2023-07-17T06:15:42","modified_gmt":"2023-07-17T08:15:42","slug":"le-cert-ua-decouvre-les-tactiques-dexfiltration-rapide-des-donnees-de-gamaredon-suite-a-un-compromis-initial","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/le-cert-ua-decouvre-les-tactiques-dexfiltration-rapide-des-donnees-de-gamaredon-suite-a-un-compromis-initial\/","title":{"rendered":"Le CERT-UA d\u00e9couvre les tactiques d’exfiltration rapide des donn\u00e9es de Gamaredon suite \u00e0 un compromis initial"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>17 juil. 2023<\/span>\ue804<\/i>THN<\/span><\/span>Cyberattaque \/ S\u00e9curit\u00e9 des donn\u00e9es<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

L’acteur mena\u00e7ant li\u00e9 \u00e0 la Russie connu sous le nom de Gamaredon a \u00e9t\u00e9 observ\u00e9 en train de mener des activit\u00e9s d’exfiltration de donn\u00e9es dans l’heure qui a suivi la compromission initiale.<\/p>\n

“En tant que vecteur de compromission primaire, pour la plupart, les e-mails et les messages dans les messagers (Telegram, WhatsApp, Signal) sont utilis\u00e9s, dans la plupart des cas, en utilisant des comptes pr\u00e9c\u00e9demment compromis”, a d\u00e9clar\u00e9 l’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA). a dit<\/a> dans une analyse du groupe publi\u00e9e la semaine derni\u00e8re.<\/p>\n

Gamaredon, \u00e9galement appel\u00e9 Aqua Blizzard, Armageddon, Shuckworm ou UAC-0010, est un acteur parrain\u00e9 par l’\u00c9tat ayant des liens avec le bureau principal du SBU dans la R\u00e9publique autonome de Crim\u00e9e, qui a \u00e9t\u00e9 annex\u00e9e par la Russie en 2014. On estime que le groupe a infect\u00e9 des milliers d’ordinateurs gouvernementaux.<\/p>\n

<\/center><\/section>\n

C’est aussi l’une des nombreuses \u00e9quipes de piratage russe qui ont maintenu un pr\u00e9sence active<\/a> depuis le d\u00e9but de la guerre russo-ukrainienne en f\u00e9vrier 2022, tirant parti des campagnes de phishing pour fournir des portes d\u00e9rob\u00e9es PowerShell telles que GammaSteel pour effectuer des reconnaissances et ex\u00e9cuter des commandes suppl\u00e9mentaires.<\/p>\n

Les messages sont g\u00e9n\u00e9ralement accompagn\u00e9s d’une archive contenant un fichier HTM ou HTA qui, lorsqu’il est ouvert, active la s\u00e9quence d’attaque.<\/p>\n

\"Exfiltration<\/div>\n

Selon CERT-UA, GammaSteel est utilis\u00e9 pour exfiltrer les fichiers correspondant \u00e0 un ensemble sp\u00e9cifique d’extensions – .doc, .docx, .xls, .xlsx, .rtf, .odt, .txt, .jpg, .jpeg, .pdf, . ps1, .rar, .zip, .7z et .mdb \u2013 dans un d\u00e9lai de 30 \u00e0 50 minutes.<\/p>\n

Le groupe a \u00e9galement \u00e9t\u00e9 observ\u00e9 en constante \u00e9volution de ses tactiques, utilisant des techniques d’infection USB pour la propagation. Un h\u00f4te fonctionnant dans un \u00e9tat compromis pendant une semaine pourrait avoir entre 80 et 120 fichiers malveillants, a not\u00e9 l’agence.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n

<\/a><\/p>\n

Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n

Joignez aujourd’hui<\/a><\/section>\n

L’utilisation par l’auteur de la menace du logiciel AnyDesk pour l’acc\u00e8s \u00e0 distance interactif, des scripts PowerShell pour le d\u00e9tournement de session afin de contourner l’authentification \u00e0 deux facteurs (2FA) et de Telegram et Telegraph pour r\u00e9cup\u00e9rer les informations du serveur de commande et de contr\u00f4le (C2) est \u00e9galement importante.<\/p>\n

“Les attaquants prennent des mesures distinctes pour assurer la tol\u00e9rance aux pannes de leur infrastructure r\u00e9seau et \u00e9viter la d\u00e9tection au niveau du r\u00e9seau”, a d\u00e9clar\u00e9 le CERT-UA. “Au cours de la journ\u00e9e, les adresses IP des n\u0153uds de contr\u00f4le interm\u00e9diaires peuvent changer de 3 \u00e0 6 fois ou plus, ce qui, entre autres, indique l’automatisation appropri\u00e9e du processus.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n