Microsoft a annonc\u00e9 jeudi avoir trouv\u00e9 une nouvelle version du Chat noir<\/strong> ransomware (alias ALPHV et Noberus) qui int\u00e8gre des outils comme Impacket et RemCom pour faciliter les d\u00e9placements lat\u00e9raux et l’ex\u00e9cution de code \u00e0 distance.<\/p>\n “Le Outil Impacket<\/a> dispose de modules de vidage d’informations d’identification et d’ex\u00e9cution de services \u00e0 distance qui pourraient \u00eatre utilis\u00e9s pour un d\u00e9ploiement \u00e0 grande \u00e9chelle du ran\u00e7ongiciel BlackCat dans des environnements cibles \u00bb, a d\u00e9clar\u00e9 l’\u00e9quipe de renseignement sur les menaces de l’entreprise. dit<\/a> dans une s\u00e9rie de messages sur X (anciennement Twitter).<\/p>\n “Cette version BlackCat a \u00e9galement le Outil de piratage RemCom<\/a> int\u00e9gr\u00e9 dans l’ex\u00e9cutable pour l’ex\u00e9cution de code \u00e0 distance. Le fichier contient \u00e9galement des informations d’identification de cible compromises cod\u00e9es en dur que les acteurs utilisent pour les mouvements lat\u00e9raux et le d\u00e9ploiement ult\u00e9rieur de ransomwares. \u00bb<\/p>\n RemCom, pr\u00e9sent\u00e9 comme une alternative open source \u00e0 PsExec, a \u00e9t\u00e9 utilis\u00e9 par des acteurs de la menace des \u00c9tats-nations chinois et iraniens comme Dalbit<\/a> et hanneton<\/a> (alias Remix Kitten) pour se d\u00e9placer dans les environnements des victimes dans le pass\u00e9.<\/p>\n Redmond a d\u00e9clar\u00e9 avoir commenc\u00e9 \u00e0 observer la nouvelle variante dans les attaques men\u00e9es par une filiale de BlackCat en juillet 2023.<\/p>\n Le d\u00e9veloppement vient<\/a> plus de deux mois apr\u00e8s qu’IBM Security X-Force a divulgu\u00e9 les d\u00e9tails de la version mise \u00e0 jour de BlackCat, appel\u00e9e Sphynx, qui est apparue pour la premi\u00e8re fois en f\u00e9vrier 2023 avec une vitesse de cryptage et une furtivit\u00e9 am\u00e9lior\u00e9es, soulignant les efforts continus d\u00e9ploy\u00e9s par les acteurs de la menace pour affiner et r\u00e9organiser le ransomware.<\/p>\n “L’\u00e9chantillon de ran\u00e7ongiciel BlackCat contient plus qu’une simple fonctionnalit\u00e9 de ran\u00e7ongiciel, mais peut fonctionner comme une” bo\u00eete \u00e0 outils “”, a not\u00e9 IBM Security X-Force fin mai 2023. “Une cha\u00eene suppl\u00e9mentaire sugg\u00e8re que l’outillage est bas\u00e9 sur les outils d’Impacket.”<\/p>\n Le groupe de cybercriminalit\u00e9, qui a lanc\u00e9 son op\u00e9ration en novembre 2021, est marqu\u00e9 par une \u00e9volution constante, ayant r\u00e9cemment publi\u00e9 un API de fuite de donn\u00e9es<\/a> pour augmenter la visibilit\u00e9 de ses attaques. D’apr\u00e8s Rapid7 Examen des menaces en milieu d’ann\u00e9e<\/a> pour 2023, BlackCat a \u00e9t\u00e9 attribu\u00e9 \u00e0 212 attaques de ran\u00e7ongiciels sur un total de 1\u00a0500.<\/p>\n Ce n’est pas seulement BlackCat, car Cuba (alias COLDRAW) groupe de menaces de ran\u00e7ongiciels a \u00e9galement \u00e9t\u00e9 observ\u00e9 utilisant un ensemble d’outils d’attaque complet englobant BUGHATCH, un t\u00e9l\u00e9chargeur personnalis\u00e9 ; BURNTCIGAR, un tueur d’antimalware\u00a0; Wedgecut, un utilitaire d’\u00e9num\u00e9ration d’h\u00f4tes\u00a0; Metasploit\u00a0; et les cadres Cobalt Strike.<\/p>\n BURNTCIGAR, en particulier, propose des modifications sous le capot pour incorporer une liste hach\u00e9e cod\u00e9e en dur de processus cibl\u00e9s \u00e0 terminer, probablement dans le but d’emp\u00eacher l’analyse.<\/p>\n L’une des attaques mont\u00e9es par le groupe d\u00e9but juin 2023 aurait militaris\u00e9 CVE-2020-1472 (Zerologon) et CVE-2023-27532, une faille de haute gravit\u00e9 dans le logiciel Veeam Backup & Replication qui a d\u00e9j\u00e0 \u00e9t\u00e9 exploit\u00e9e par le Gang FIN7, pour l’acc\u00e8s initial.<\/p>\n Entreprise canadienne de cybers\u00e9curit\u00e9 BlackBerry dit<\/a> il marque la “premi\u00e8re utilisation observ\u00e9e par le groupe d’un exploit pour la vuln\u00e9rabilit\u00e9 Veeam CVE-2023-27532”.<\/p>\n “Les op\u00e9rateurs cubains de ran\u00e7ongiciels continuent de recycler l’infrastructure r\u00e9seau et d’utiliser un ensemble de base de TTP qu’ils ont subtilement modifi\u00e9 d’une campagne \u00e0 l’autre, adoptant souvent des composants facilement disponibles pour mettre \u00e0 niveau leur ensemble d’outils chaque fois que l’occasion se pr\u00e9sente”, a-t-il ajout\u00e9.<\/p>\n Les ransomwares restent une importante source d’argent pour les acteurs de la menace financi\u00e8rement motiv\u00e9s, augmentant \u00e0 la fois en sophistication et en quantit\u00e9 au cours du premier semestre 2023 par rapport \u00e0 l’ensemble de 2022 malgr\u00e9 l’intensification des efforts des forces de l’ordre pour les \u00e9liminer.<\/p>\n Certains groupes ont \u00e9galement commenc\u00e9 \u00e0 passer du chiffrement \u00e0 l’exfiltration pure et \u00e0 la ran\u00e7on ou, alternativement, \u00e0 recourir \u00e0 la triple extorsion, dans laquelle les attaques vont au-del\u00e0 du chiffrement et du vol de donn\u00e9es pour faire chanter les employ\u00e9s ou les clients d’une victime et mener des attaques DDoS pour mettre plus de pression.<\/p>\n Une autre tactique notable est le ciblage des fournisseurs de services g\u00e9r\u00e9s (MSP) comme points d’entr\u00e9e pour violer les r\u00e9seaux d’entreprise en aval, comme en t\u00e9moigne une campagne de ransomware Play visant les secteurs de la finance, des logiciels, du droit, de l’exp\u00e9dition et de la logistique, ainsi que les secteurs \u00e9tatiques, locaux, entit\u00e9s tribales et territoriales (SLTT) aux \u00c9tats-Unis, en Australie, au Royaume-Uni et en Italie.<\/p>\n Le attaques<\/a> effet de levier<\/a> “Logiciel de surveillance et de gestion \u00e0 distance (RMM) utilis\u00e9 par les fournisseurs de services pour acc\u00e9der directement \u00e0 l’environnement d’un client, en contournant la majorit\u00e9 de ses d\u00e9fenses”, Adlumin dit<\/a>accordant aux acteurs de la menace un acc\u00e8s privil\u00e9gi\u00e9 et illimit\u00e9 aux r\u00e9seaux.<\/p>\n L’abus r\u00e9p\u00e9t\u00e9 de logiciels RMM l\u00e9gitimes par des acteurs malveillants a conduit le gouvernement am\u00e9ricain \u00e0 publier un plan de cyberd\u00e9fense pour att\u00e9nuer les menaces pesant sur l’\u00e9cosyst\u00e8me RMM.<\/p>\n “Les acteurs de la cyber-menace peuvent s’implanter via le logiciel RMM dans les fournisseurs de services g\u00e9r\u00e9s (MSP) ou g\u00e9rer les serveurs des fournisseurs de services de s\u00e9curit\u00e9 (MSSP) et, par extension, peuvent avoir des impacts en cascade pour les petites et moyennes entreprises qui sont des clients MSP\/MSSP, ” l’Agence am\u00e9ricaine pour la cybers\u00e9curit\u00e9 et la s\u00e9curit\u00e9 des infrastructures (CISA) mis en garde<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/New-NodeStealer-Targeting-Facebook-Business-Accounts-and-Crypto-Wallets.png\")
<\/a><\/center><\/section>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n