Une campagne en cours ciblant les minist\u00e8res des affaires \u00e9trang\u00e8res des pays align\u00e9s sur l’OTAN souligne l’implication d’acteurs mena\u00e7ants russes.<\/p>\n
Les attaques de phishing utilisent des documents PDF avec des leurres diplomatiques, dont certains sont d\u00e9guis\u00e9s en provenance d’Allemagne, pour livrer une variante d’un malware appel\u00e9 Duc<\/a>qui a \u00e9t\u00e9 attribu\u00e9 \u00e0 APT29<\/strong> (alias BlueBravo, Cloaked Ursa, Cozy Bear, Iron Hemlock, Midnight Blizzard et The Dukes).<\/p>\n “L’acteur de la menace a utilis\u00e9 Zulip – une application de chat open source – pour commander et contr\u00f4ler, pour \u00e9chapper et cacher ses activit\u00e9s derri\u00e8re le trafic Web l\u00e9gitime”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 n\u00e9erlandaise de cybers\u00e9curit\u00e9 EclecticIQ. dit<\/a> dans une analyse la semaine derni\u00e8re.<\/p>\n La s\u00e9quence d’infection est la suivante : La pi\u00e8ce jointe PDF, intitul\u00e9e “Adieu \u00e0 l’ambassadeur d’Allemagne”, est livr\u00e9e avec un code JavaScript int\u00e9gr\u00e9 qui lance un processus en plusieurs \u00e9tapes pour supprimer le logiciel malveillant.<\/p>\n L’utilisation de th\u00e8mes d’invitation par APT29 a d\u00e9j\u00e0 \u00e9t\u00e9 signal\u00e9e par Lab52, qui document\u00e9<\/a> une attaque qui se fait passer pour l’ambassade de Norv\u00e8ge pour fournir une charge utile DLL capable de contacter un serveur distant pour r\u00e9cup\u00e9rer des charges utiles suppl\u00e9mentaires.<\/p>\n L’utilisation du domaine “bahamas.gov[.]bs” dans les deux ensembles d’intrusion renforce davantage ce lien.<\/p>\n Si une cible potentielle succombait au pi\u00e8ge de phishing en ouvrant le fichier PDF, un dropper HTML malveillant appel\u00e9 Invitation_Farewell_DE_EMB est lanc\u00e9 pour ex\u00e9cuter JavaScript qui d\u00e9pose un fichier d’archive ZIP, qui, \u00e0 son tour, s’int\u00e8gre dans un fichier d’application HTML (HTA) con\u00e7u pour d\u00e9ployer le malware Duke.<\/p>\n La commande et le contr\u00f4le sont facilit\u00e9s en utilisant l’API de Zulip pour envoyer les d\u00e9tails de la victime \u00e0 une salle de chat contr\u00f4l\u00e9e par l’acteur (toyy.zulipchat[.]com) ainsi que pour r\u00e9quisitionner \u00e0 distance les h\u00f4tes compromis.<\/p>\n EclecticIQ a d\u00e9clar\u00e9 avoir identifi\u00e9 un deuxi\u00e8me fichier PDF, probablement utilis\u00e9 par APT29 \u00e0 des fins de reconnaissance ou de test.<\/p>\n “Il ne contenait pas de charge utile, mais informait l’acteur si une victime ouvrait la pi\u00e8ce jointe en recevant une notification via un domaine compromis edenparkweddings[.]com”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Il convient de noter que l’abus de Zulip est normal avec le groupe parrain\u00e9 par l’\u00e9tat<\/a>qui a un palmar\u00e8s de tirer parti<\/a> un large \u00e9ventail de services Internet l\u00e9gitimes tels que Google Drive, Microsoft OneDrive, Dropbox, Notion, Firebase et Trello pour C2.<\/p>\n Les principales cibles d’APT29 sont les gouvernements et les sous-traitants gouvernementaux, les organisations politiques, les soci\u00e9t\u00e9s de recherche et les industries critiques aux \u00c9tats-Unis et en Europe. Mais dans une tournure int\u00e9ressante, un adversaire inconnu a \u00e9t\u00e9 observ\u00e9 employant sa tactique<\/a> pour violer les utilisateurs de langue chinoise avec Cobalt Strike.<\/p>\n Le d\u00e9veloppement intervient alors que l’\u00e9quipe d’intervention d’urgence informatique d’Ukraine (CERT-UA) averti<\/a> d’une nouvelle s\u00e9rie d’attaques de phishing contre des organisations \u00e9tatiques de l’Ukraine \u00e0 l’aide d’un Go-based bo\u00eete \u00e0 outils de post-exploitation open source<\/a> appel\u00e9 Merlin<\/a>. L’activit\u00e9 est suivie sous le nom UAC-0154.<\/p>\n Le pays d\u00e9chir\u00e9 par la guerre a \u00e9galement fait face \u00e0 des cyberattaques soutenues de la part de Sandworm, une unit\u00e9 de piratage d’\u00e9lite affili\u00e9e au renseignement militaire russe, principalement destin\u00e9e \u00e0 perturber les op\u00e9rations critiques et \u00e0 recueillir des renseignements pour obtenir un avantage strat\u00e9gique.<\/p>\n Selon un r\u00e9cent rapport du Service de s\u00e9curit\u00e9 ukrainien (SBU), l’auteur de la menace aurait tent\u00e9 en vain d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 Tablettes Android<\/a> poss\u00e9d\u00e9 par le personnel militaire ukrainien pour la planification et l’ex\u00e9cution de missions de combat.<\/p>\n “La capture d’appareils sur le champ de bataille, leur examen d\u00e9taill\u00e9 et l’utilisation des acc\u00e8s disponibles et des logiciels sont devenus le principal vecteur d’acc\u00e8s initial et de distribution de logiciels malveillants”, a d\u00e9clar\u00e9 l’agence de s\u00e9curit\u00e9. dit<\/a>.<\/p>\n Certaines des souches de logiciels malveillants incluent NETD pour assurer la persistance, DROPBEAR pour \u00e9tablir un acc\u00e8s \u00e0 distance, STL pour recueillir des donn\u00e9es du syst\u00e8me satellite Starlink, DEBLIND pour exfiltrer des donn\u00e9es, le Mirai<\/a> logiciels malveillants de botnet. Un service cach\u00e9 TOR est \u00e9galement utilis\u00e9 dans les attaques pour acc\u00e9der \u00e0 l’appareil sur le r\u00e9seau local via Internet.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Major-Cybersecurity-Agencies-Collaborate-to-Unveil-2022039s-Most-Exploited-Vulnerabilities.png\")
<\/a><\/center><\/section>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgNmNiBV8c8Rp0Xy6N9lCX9JL2cBlrjkSeuW4JhgOVQ3mKTsYV4pPvh3nDz32D97D8XcWQ53EJ1p4n2VX0gZH_YrBZBqElUMfzFWgb50P8lv1iac_1f-p5liZzC1ISVWJygv2s1Qm36rOHwk_kPXUNNT3nbSDr144QYZ6XGq0aXRDOrFfSlUnHnc0x4Fe_F\/s728-e3650\/cis-d.gif\")
<\/a><\/center><\/section>\n