Le secteur de la d\u00e9fense en Ukraine et en Europe de l’Est a \u00e9t\u00e9 cibl\u00e9 par une nouvelle porte d\u00e9rob\u00e9e bas\u00e9e sur .NET appel\u00e9e DeliveryCheck<\/strong> (alias CAPIBAR ou GAMEDAY) qui est capable de fournir des charges utiles de la prochaine \u00e9tape.<\/p>\n L’\u00e9quipe Microsoft Threat Intelligence, en collaboration<\/a> avec l’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA), a attribu\u00e9 les attaques \u00e0 un acteur d’\u00c9tat-nation russe connu sous le nom de Turla, qui est \u00e9galement suivi sous les noms d’Iron Hunter, Secret Blizzard (anciennement Krypton), Uroburos, Venomous Bear et Waterbug. Il est li\u00e9 au Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 (FSB) russe.<\/p>\n “DeliveryCheck est distribu\u00e9 par e-mail sous forme de documents contenant des macros malveillantes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans une s\u00e9rie de tweets. “Il persiste via une t\u00e2che planifi\u00e9e qui la t\u00e9l\u00e9charge et la lance en m\u00e9moire. Il contacte \u00e9galement un serveur C2 pour r\u00e9cup\u00e9rer des t\u00e2ches, ce qui peut inclure le lancement de charges utiles arbitraires int\u00e9gr\u00e9es dans des feuilles de style XSLT.”<\/p>\n Un acc\u00e8s initial r\u00e9ussi s’accompagne \u00e9galement dans certains cas de la distribution d’un implant Turla connu appel\u00e9 Kazuar, qui est \u00e9quip\u00e9 pour voler des fichiers de configuration d’application, des journaux d’\u00e9v\u00e9nements et un large \u00e9ventail de donn\u00e9es \u00e0 partir de navigateurs Web.<\/p>\n Le but ultime des attaques est d’exfiltrer les messages de l’application de messagerie Signal pour Windows, permettant \u00e0 l’adversaire d’acc\u00e9der \u00e0 des conversations, des documents et des images sensibles sur des syst\u00e8mes cibl\u00e9s.<\/p>\n Un aspect remarquable de DeliveryCheck est sa capacit\u00e9 \u00e0 violer les serveurs Microsoft Exchange pour installer un composant c\u00f4t\u00e9 serveur \u00e0 l’aide de PowerShell Desired State Configuration (DSC<\/a>), une plateforme de gestion PowerShell qui aide les administrateurs \u00e0 automatiser la configuration des syst\u00e8mes Windows.<\/p>\n “DSC g\u00e9n\u00e8re un format d’objet g\u00e9r\u00e9 (MOF<\/a>) contenant un script PowerShell qui charge la charge utile .NET int\u00e9gr\u00e9e dans la m\u00e9moire, transformant efficacement un serveur l\u00e9gitime en un centre C2 malveillant \u00bb, a expliqu\u00e9 Microsoft.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n