Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9clar\u00e9 avoir d\u00e9couvert ce qu’ils disent \u00eatre les premi\u00e8res attaques de la cha\u00eene d’approvisionnement de logiciels open source ciblant sp\u00e9cifiquement le secteur bancaire.<\/p>\n
“Ces attaques ont pr\u00e9sent\u00e9 des techniques avanc\u00e9es, notamment le ciblage de composants sp\u00e9cifiques dans les actifs Web de la banque victime en y attachant des fonctionnalit\u00e9s malveillantes”, a d\u00e9clar\u00e9 Checkmarx. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n “Les attaquants ont utilis\u00e9 des tactiques trompeuses telles que la cr\u00e9ation d’un faux profil LinkedIn pour appara\u00eetre comme des centres de commandement et de contr\u00f4le (C2) cr\u00e9dibles et personnalis\u00e9s pour chaque cible, exploitant des services l\u00e9gitimes pour des activit\u00e9s illicites.”<\/p>\n Les packages npm ont depuis \u00e9t\u00e9 signal\u00e9s et retir\u00e9s. Les noms des colis n’ont pas \u00e9t\u00e9 divulgu\u00e9s.<\/p>\n Lors de la premi\u00e8re attaque, l’auteur du logiciel malveillant aurait t\u00e9l\u00e9charg\u00e9 quelques packages dans le registre npm d\u00e9but avril 2023 en se faisant passer pour un employ\u00e9 de la banque cible. Les modules sont livr\u00e9s avec un script de pr\u00e9installation pour activer la s\u00e9quence d’infection. Pour compl\u00e9ter la ruse, l’auteur de la menace a cr\u00e9\u00e9 une fausse page LinkedIn.<\/p>\n Une fois lanc\u00e9, le script a d\u00e9termin\u00e9 le syst\u00e8me d’exploitation h\u00f4te pour voir s’il s’agissait de Windows, Linux ou macOS, et a proc\u00e9d\u00e9 au t\u00e9l\u00e9chargement d’un logiciel malveillant de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur distant en utilisant un sous-domaine sur Azure qui incorporait le nom de la banque en question.<\/p>\n “L’attaquant a intelligemment utilis\u00e9 les sous-domaines CDN d’Azure pour fournir efficacement la charge utile de deuxi\u00e8me \u00e9tape”, ont d\u00e9clar\u00e9 les chercheurs de Checkmarx. “Cette tactique est particuli\u00e8rement intelligente car elle contourne les m\u00e9thodes traditionnelles de liste de refus, en raison du statut d’Azure en tant que service l\u00e9gitime.”<\/p>\n La charge utile de deuxi\u00e8me \u00e9tape utilis\u00e9e dans l’intrusion est Havoc, un cadre de commande et de contr\u00f4le (C2) open source qui est de plus en plus sous le radar des acteurs malveillants qui cherchent \u00e0 contourner la d\u00e9tection r\u00e9sultant de l’utilisation de Cobalt Strike, Sliver et Brute Ratel.<\/p>\n Lors d’une attaque non li\u00e9e d\u00e9tect\u00e9e en f\u00e9vrier 2023 ciblant une autre banque, l’adversaire a t\u00e9l\u00e9charg\u00e9 sur npm un package “m\u00e9ticuleusement con\u00e7u pour se fondre dans le site Web de la banque victime et rester en sommeil jusqu’\u00e0 ce qu’il soit incit\u00e9 \u00e0 passer \u00e0 l’action”.<\/p>\n Plus pr\u00e9cis\u00e9ment, il a \u00e9t\u00e9 con\u00e7u pour intercepter secr\u00e8tement les donn\u00e9es de connexion et exfiltrer les d\u00e9tails vers une infrastructure contr\u00f4l\u00e9e par des acteurs.<\/p>\n “La s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement s’articule autour de la protection de l’ensemble du processus de cr\u00e9ation et de distribution de logiciels, des premi\u00e8res \u00e9tapes de d\u00e9veloppement \u00e0 la livraison \u00e0 l’utilisateur final”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n “Une fois qu’un package open source malveillant entre dans le pipeline, il s’agit essentiellement d’une br\u00e8che instantan\u00e9e – rendant toute contre-mesure ult\u00e9rieure inefficace. En d’autres termes, le mal est fait.”<\/p>\n Le d\u00e9veloppement intervient alors que le groupe de cybercriminalit\u00e9 russophone RedCurl a viol\u00e9 une grande banque russe anonyme et une soci\u00e9t\u00e9 australienne en novembre 2022 et mai 2023 pour siphonner des secrets d’entreprise et des informations sur les employ\u00e9s dans le cadre d’une campagne de phishing sophistiqu\u00e9e, a d\u00e9clar\u00e9 la branche russe de Group-IB, FACCT.<\/p>\n “Depuis quatre ans et demi, le groupe russophone Red Curl […] a men\u00e9 au moins 34 attaques contre des entreprises du Royaume-Uni, d’Allemagne, du Canada, de Norv\u00e8ge, d’Ukraine et d’Australie”, a dit<\/a>.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n “Plus de la moiti\u00e9 des attaques – 20 – sont tomb\u00e9es sur la Russie. Parmi les victimes des cyber-espions figuraient des soci\u00e9t\u00e9s de construction, financi\u00e8res, de conseil, des d\u00e9taillants, des banques, des assurances et des organisations juridiques.”<\/p>\n Les institutions financi\u00e8res ont \u00e9galement \u00e9t\u00e9 la cible d’attaques utilisant une bo\u00eete \u00e0 outils d’injection Web appel\u00e9e drIBAN pour effectuer des transactions non autoris\u00e9es \u00e0 partir de l’ordinateur d’une victime d’une mani\u00e8re qui contourne les m\u00e9canismes de v\u00e9rification d’identit\u00e9 et anti-fraude adopt\u00e9s par les banques.<\/p>\n “La fonctionnalit\u00e9 de base de drIBAN<\/a> est le moteur ATS (Automatic Transfer System)”, les chercheurs de Cleafy Federico Valentini et Alessandro Strino indiqu\u00e9<\/a> dans une analyse publi\u00e9e le 18 juillet 2023.<\/p>\n “ATS est une classe d’injects Web qui modifient \u00e0 la vol\u00e9e les virements bancaires l\u00e9gitimes effectu\u00e9s par l’utilisateur, en changeant le b\u00e9n\u00e9ficiaire et en transf\u00e9rant de l’argent sur un compte bancaire ill\u00e9gitime contr\u00f4l\u00e9 par TA ou des soci\u00e9t\u00e9s affili\u00e9es, qui sont ensuite responsables de la gestion et du blanchiment de l’argent vol\u00e9.”<\/p>\n <\/p>\n![\"Attaques](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhPafVRjsccDotCSapsg3vkTBKIvw5vquCCmOd2pvkcW3z8rB_KcBh2WeIZwZL3q0FYKTPqQWJcwgqa6Xlwsm0ONDZyH7371PPN3Fbog5oOWFA5BvnFma9emOZ79baYC8U8gXt0tmhZxnJhmqDRflS-p8EvlethhQwdvnsH0F1K79Kgey7bdBEy3ycWy0E6\/s728-e3650\/msc.jpg\" "\\"Attaques")
<\/div>\n