Des acteurs nord-cor\u00e9ens de l’\u00c9tat-nation affili\u00e9s au Reconnaissance General Bureau (RGB) ont \u00e9t\u00e9 attribu\u00e9s au piratage de JumpCloud suite \u00e0 une erreur de s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC) qui a r\u00e9v\u00e9l\u00e9 leur adresse IP r\u00e9elle.<\/p>\n
La soci\u00e9t\u00e9 de renseignement sur les menaces Mandiant, propri\u00e9t\u00e9 de Google, a attribu\u00e9 l’activit\u00e9 \u00e0 un acteur mena\u00e7ant qu’elle suit sous le nom d’UNC4899, qui partage probablement des chevauchements avec des clusters d\u00e9j\u00e0 surveill\u00e9s comme Jade Sleet et TraderTraitor, un groupe avec une histoire de secteurs frappants de la blockchain et de la crypto-monnaie.<\/p>\n
UNC4899 chevauche \u00e9galement APT43, une autre \u00e9quipe de piratage associ\u00e9e \u00e0 la R\u00e9publique populaire d\u00e9mocratique de Cor\u00e9e (RPDC) qui a \u00e9t\u00e9 d\u00e9masqu\u00e9e au d\u00e9but du mois de mars alors qu’elle menait une s\u00e9rie de campagnes pour recueillir des renseignements et siphonner la crypto-monnaie des entreprises cibl\u00e9es.<\/p>\n
Le mode op\u00e9ratoire du collectif contradictoire se caract\u00e9rise par l’utilisation de Bo\u00eetiers Relais Op\u00e9rationnels (ORB<\/a>) utilisant des tunnels IPsec L2TP avec des fournisseurs de VPN commerciaux pour dissimuler le v\u00e9ritable point d’origine de l’attaquant, les services VPN commerciaux agissant comme dernier saut.<\/p>\n “Il y a eu de nombreuses occasions o\u00f9 les acteurs de la menace de la RPDC n’ont pas utilis\u00e9 ce dernier saut, ou ne l’ont pas utilis\u00e9 par erreur lors de la conduite d’actions sur des op\u00e9rations sur le r\u00e9seau de la victime”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans une analyse publi\u00e9e lundi, ajoutant qu’il a observ\u00e9 “UNC4899 se connectant directement \u00e0 un ORB contr\u00f4l\u00e9 par l’attaquant \u00e0 partir de leur 175.45.178[.]sous-r\u00e9seau 0\/24.”<\/p>\n L’intrusion dirig\u00e9e contre JumpCloud a eu lieu le 22 juin 2023, dans le cadre d’un campagne sophistiqu\u00e9e de harponnage<\/a> qui a tir\u00e9 parti de l’acc\u00e8s non autoris\u00e9 pour violer moins de cinq clients et moins de 10 syst\u00e8mes dans ce qu’on appelle une attaque de la cha\u00eene d’approvisionnement logicielle.<\/p>\n Les conclusions de Mandiant sont bas\u00e9es sur une r\u00e9ponse \u00e0 un incident initi\u00e9e \u00e0 la suite d’une cyberattaque contre l’un des clients impact\u00e9s de JumpCloud, une entit\u00e9 de solutions logicielles sans nom, le point de d\u00e9part \u00e9tant un script Ruby malveillant (“init.rb”) ex\u00e9cut\u00e9 via l’agent JumpCloud le 27 juin 2023.<\/p>\n Un aspect notable de l’incident est son ciblage de quatre syst\u00e8mes Apple ex\u00e9cutant les versions 13.3 ou 13.4.1 de macOS Ventura, soulignant l’investissement continu des acteurs nord-cor\u00e9ens dans le d\u00e9veloppement de logiciels malveillants sp\u00e9cialement con\u00e7us pour la plate-forme au cours des derniers mois.<\/p>\n “L’acc\u00e8s initial a \u00e9t\u00e9 obtenu en compromettant JumpCloud et en ins\u00e9rant du code malveillant dans leur cadre de commandes”, a expliqu\u00e9 la soci\u00e9t\u00e9. “Dans au moins un cas, le code malveillant \u00e9tait un script Ruby l\u00e9ger ex\u00e9cut\u00e9 via l’agent JumpCloud.”<\/p>\n Le script, pour sa part, est con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter une charge utile de deuxi\u00e8me \u00e9tape nomm\u00e9e FULLHOUSE.DOORED, en l’utilisant comme un conduit pour d\u00e9ployer des logiciels malveillants suppl\u00e9mentaires tels que STRATOFEAR et TIEDYE, apr\u00e8s quoi les charges utiles pr\u00e9c\u00e9dentes ont \u00e9t\u00e9 supprim\u00e9es du syst\u00e8me dans une tentative de dissimuler les pistes –<\/p>\n TIEDYE pr\u00e9senterait \u00e9galement des similitudes avec RABBITHUNT, une porte d\u00e9rob\u00e9e \u00e9crite en C++ qui communique via un protocole binaire personnalis\u00e9 sur TCP et qui est capable de reverse shell, de transfert de fichiers, de cr\u00e9ation de processus et de terminaison de processus.<\/p>\n \u00ab La campagne ciblant JumpCloud et la compromission de la cha\u00eene d’approvisionnement de la RPDC pr\u00e9c\u00e9demment signal\u00e9e au d\u00e9but de cette ann\u00e9e, qui a affect\u00e9 l’application Trading Technologies X_TRADER et le logiciel 3CX Desktop App, illustrent les effets en cascade de ces op\u00e9rations pour acc\u00e9der aux fournisseurs de services afin de compromettre les victimes en aval \u00bb, a d\u00e9clar\u00e9 Mandiant.<\/p>\n “Les deux op\u00e9rations soup\u00e7onnent des liens avec des acteurs de la RPDC motiv\u00e9s financi\u00e8rement, ce qui sugg\u00e8re que les op\u00e9rateurs de la RPDC mettent en \u0153uvre des TTP de la cha\u00eene d’approvisionnement pour cibler des entit\u00e9s s\u00e9lectionn\u00e9es dans le cadre d’efforts accrus pour cibler la crypto-monnaie et les actifs li\u00e9s \u00e0 la fintech.”<\/p>\n Le d\u00e9veloppement intervient quelques jours apr\u00e8s que GitHub a averti d’une attaque d’ing\u00e9nierie sociale mont\u00e9e par l’acteur TraderTraitor pour inciter les employ\u00e9s travaillant dans des soci\u00e9t\u00e9s de blockchain, de crypto-monnaie, de jeu en ligne et de cybers\u00e9curit\u00e9 \u00e0 ex\u00e9cuter du code h\u00e9berg\u00e9 dans un r\u00e9f\u00e9rentiel GitHub qui s’appuyait sur des packages malveillants h\u00e9berg\u00e9s sur npm.<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que la cha\u00eene d’infection exploite les d\u00e9pendances malveillantes de npm pour t\u00e9l\u00e9charger une charge utile de deuxi\u00e8me \u00e9tape inconnue \u00e0 partir d’un domaine contr\u00f4l\u00e9 par un acteur. Les colis ont depuis \u00e9t\u00e9 retir\u00e9s et les comptes suspendus.<\/p>\n “Les packages identifi\u00e9s, publi\u00e9s par paires, n\u00e9cessitaient une installation dans un ordre sp\u00e9cifique, r\u00e9cup\u00e9rant ensuite un jeton facilitant le t\u00e9l\u00e9chargement d’une charge utile malveillante finale \u00e0 partir d’un serveur distant”, a d\u00e9clar\u00e9 Phylum. a dit<\/a> dans une nouvelle analyse d\u00e9taillant la d\u00e9couverte de nouveaux modules npm utilis\u00e9s dans la m\u00eame campagne.<\/p>\n “La vaste surface d’attaque pr\u00e9sent\u00e9e par ces \u00e9cosyst\u00e8mes est difficile \u00e0 ignorer. Il est pratiquement impossible pour un d\u00e9veloppeur dans le monde d’aujourd’hui de ne pas s’appuyer sur des packages open source. Cette r\u00e9alit\u00e9 est g\u00e9n\u00e9ralement exploit\u00e9e par des acteurs de la menace visant \u00e0 maximiser leur rayon d’action pour une diffusion g\u00e9n\u00e9ralis\u00e9e de logiciels malveillants, tels que des voleurs ou des ran\u00e7ongiciels”.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Pyongyang utilise depuis longtemps des braquages \u200b\u200b\u200b\u200bde crypto-monnaie pour alimenter son programme d’armes nucl\u00e9aires sanctionn\u00e9, tout en orchestrant simultan\u00e9ment des attaques de cyberespionnage pour collecter des renseignements strat\u00e9giques \u00e0 l’appui des priorit\u00e9s politiques et de s\u00e9curit\u00e9 nationale du r\u00e9gime.<\/p>\n “L’appareil de renseignement de la Cor\u00e9e du Nord poss\u00e8de la flexibilit\u00e9 et la r\u00e9silience n\u00e9cessaires pour cr\u00e9er des cyber-unit\u00e9s bas\u00e9es sur les besoins du pays”, a d\u00e9clar\u00e9 Mandiant. indiqu\u00e9<\/a> l’ann\u00e9e derni\u00e8re. “De plus, des chevauchements dans l’infrastructure, les logiciels malveillants et les tactiques, techniques et proc\u00e9dures indiquent qu’il existe des ressources partag\u00e9es entre leurs cyber-op\u00e9rations.”<\/p>\n Le groupe Lazarus reste un acteur de menace prolifique parrain\u00e9 par l’\u00c9tat \u00e0 cet \u00e9gard, lan\u00e7ant constamment des attaques con\u00e7ues pour tout livrer, des chevaux de Troie d’acc\u00e8s \u00e0 distance aux ran\u00e7ongiciels en passant par les portes d\u00e9rob\u00e9es sp\u00e9cialement con\u00e7ues, et d\u00e9montrant \u00e9galement une volont\u00e9 de changer de tactiques et de techniques pour entraver l’analyse et rendre leur suivi beaucoup plus difficile.<\/p>\n Cela est illustr\u00e9 par sa capacit\u00e9 non seulement \u00e0 compromettre les serveurs Web Microsoft Internet Information Service (IIS) vuln\u00e9rables, mais \u00e9galement \u00e0 les utiliser comme centres de distribution de logiciels malveillants dans les attaques de points d’eau visant la Cor\u00e9e du Sud, selon le AhnLab Security Emergency Response Center (ASEC).<\/p>\n “L’acteur de la menace utilise en permanence des attaques de vuln\u00e9rabilit\u00e9 pour l’acc\u00e8s initial aux syst\u00e8mes non corrig\u00e9s”, ASEC a dit<\/a>. “C’est l’un des groupes de menaces les plus dangereux et les plus actifs au monde.”<\/p>\n Un deuxi\u00e8me groupe soutenu par le RVB qui se concentre \u00e9galement sur la collecte d’informations sur les \u00e9v\u00e9nements g\u00e9opolitiques et les n\u00e9gociations affectant les int\u00e9r\u00eats de la RPDC est Kimsuky, qui a \u00e9t\u00e9 d\u00e9tect\u00e9 \u00e0 l’aide Bureau \u00e0 distance Chrome<\/a> pour r\u00e9quisitionner \u00e0 distance des h\u00f4tes d\u00e9j\u00e0 compromis par des portes d\u00e9rob\u00e9es telles qu’AppleSeed.<\/p>\n “Le groupe Kimsuky APT lance en permanence des attaques de spear-phishing contre les utilisateurs cor\u00e9ens”, ASEC soulign\u00e9<\/a> ce mois-ci. “Ils utilisent g\u00e9n\u00e9ralement des m\u00e9thodes de distribution de logiciels malveillants via des fichiers de documents d\u00e9guis\u00e9s joints \u00e0 des e-mails, et les utilisateurs qui ouvrent ces fichiers peuvent perdre le contr\u00f4le de leur syst\u00e8me actuel.”<\/p>\n <\/p>\n\n