L’acteur mena\u00e7ant \u00e0 motivation financi\u00e8re connu sous le nom de FIN8 a \u00e9t\u00e9 observ\u00e9 en train d’utiliser une version “remani\u00e9e” d’une porte d\u00e9rob\u00e9e appel\u00e9e Sardonique<\/strong> pour livrer le ran\u00e7ongiciel BlackCat.<\/p>\n Selon l’\u00e9quipe Symantec Threat Hunter, qui fait partie de Broadcom, le d\u00e9veloppement est une tentative de la part du groupe de cybercriminalit\u00e9 de diversifier ses objectifs et de maximiser les profits des entit\u00e9s infect\u00e9es. La tentative d’intrusion a eu lieu en d\u00e9cembre 2022.<\/p>\n FIN8 est suivi par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 sous le nom de Syssphinx. Connu pour \u00eatre actif depuis au moins 2016, l’adversaire \u00e9tait \u00e0 l’origine attribu\u00e9 \u00e0 des attaques ciblant les syst\u00e8mes de points de vente (PoS) utilisant des logiciels malveillants tels que PUNCHTRACK et BADHATCH.<\/p>\n Le groupe a refait surface apr\u00e8s plus d’un an en mars 2021 avec une version mise \u00e0 jour de BADHATCH, suivie d’un tout nouvel implant sur mesure appel\u00e9 Sardonic, qui a \u00e9t\u00e9 divulgu\u00e9 par Bitdefender en ao\u00fbt 2021.<\/p>\n “La porte d\u00e9rob\u00e9e Sardonic bas\u00e9e sur C++ a la capacit\u00e9 de collecter des informations syst\u00e8me et d’ex\u00e9cuter des commandes, et dispose d’un syst\u00e8me de plug-in con\u00e7u pour charger et ex\u00e9cuter des charges utiles de logiciels malveillants suppl\u00e9mentaires fournies sous forme de DLL”, a d\u00e9clar\u00e9 Symantec. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Contrairement \u00e0 la variante pr\u00e9c\u00e9dente, qui a \u00e9t\u00e9 con\u00e7ue en C ++, la derni\u00e8re it\u00e9ration contient des modifications importantes, la plupart du code source \u00e9tant r\u00e9\u00e9crit en C et modifi\u00e9 de mani\u00e8re \u00e0 \u00e9viter d\u00e9lib\u00e9r\u00e9ment les similitudes.<\/p>\n Dans l’incident analys\u00e9 par Symantec, Sardonic est int\u00e9gr\u00e9 dans un script PowerShell qui a \u00e9t\u00e9 d\u00e9ploy\u00e9 dans le syst\u00e8me cibl\u00e9 apr\u00e8s avoir obtenu l’acc\u00e8s initial. Le script est con\u00e7u pour lancer un chargeur .NET, qui d\u00e9crypte et ex\u00e9cute ensuite un module d’injection pour finalement ex\u00e9cuter l’implant.<\/p>\n “Le but de l’injecteur est de d\u00e9marrer la porte d\u00e9rob\u00e9e dans un processus WmiPrvSE.exe nouvellement cr\u00e9\u00e9”, a expliqu\u00e9 Symantec. \u00ab Lors de la cr\u00e9ation du Processus WmiPrvSE.exe<\/a>l’injecteur tente de le d\u00e9marrer en session-0 (meilleur effort) \u00e0 l’aide d’un jeton vol\u00e9 au processus lsass.exe.”<\/p>\n Sardonic, en plus de prendre en charge jusqu’\u00e0 10 sessions interactives sur l’h\u00f4te infect\u00e9 pour que l’acteur de la menace ex\u00e9cute des commandes malveillantes, prend en charge trois formats de plug-in diff\u00e9rents pour ex\u00e9cuter des DLL et des shellcodes suppl\u00e9mentaires.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n