L’\u00e9quipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA) a r\u00e9v\u00e9l\u00e9 que des acteurs malveillants ont \u00ab interf\u00e9r\u00e9 \u00bb avec au moins 11 fournisseurs de services de t\u00e9l\u00e9communications dans le pays entre mai et septembre 2023.<\/p>\n
L’agence suit l’activit\u00e9 sous le nom UAC-0165, pr\u00e9cisant que les intrusions ont entra\u00een\u00e9 des interruptions de service pour les clients.<\/p>\n
Le point de d\u00e9part des attaques est une phase de reconnaissance au cours de laquelle le r\u00e9seau d’une entreprise de t\u00e9l\u00e9communications est analys\u00e9 pour identifier les interfaces RDP ou SSH expos\u00e9es et les points d’entr\u00e9e potentiels.<\/p>\n
“Il convient de noter que les activit\u00e9s de reconnaissance et d’exploitation sont men\u00e9es \u00e0 partir de serveurs pr\u00e9c\u00e9demment compromis, situ\u00e9s notamment dans le segment ukrainien d’Internet”, a d\u00e9clar\u00e9 CERT-UA. dit<\/a>.<\/p>\n “Pour acheminer le trafic via ces n\u0153uds, Dante, SOCKS5 et d’autres serveurs proxy sont utilis\u00e9s.”<\/p>\n Les attaques se distinguent par l’utilisation de deux programmes sp\u00e9cialis\u00e9s appel\u00e9s POEMGATE et POSEIDON qui permettent le vol d’informations d’identification et le contr\u00f4le \u00e0 distance des h\u00f4tes infect\u00e9s. Afin d’effacer la trace m\u00e9dico-l\u00e9gale, un utilitaire nomm\u00e9 WHITECAT est ex\u00e9cut\u00e9.<\/p>\n De plus, un acc\u00e8s non autoris\u00e9 persistant \u00e0 l’infrastructure du fournisseur est obtenu \u00e0 l’aide de comptes VPN classiques qui ne sont pas prot\u00e9g\u00e9s par l’authentification multifacteur.<\/p>\n Une violation r\u00e9ussie est suivie de tentatives de d\u00e9sactivation des \u00e9quipements r\u00e9seau et serveurs, en particulier des \u00e9quipements Mikrotik, ainsi que des syst\u00e8mes de stockage de donn\u00e9es.<\/p>\n Cette \u00e9volution intervient alors que l’agence a d\u00e9clar\u00e9 avoir observ\u00e9 quatre vagues de phishing men\u00e9es par une \u00e9quipe de piratage informatique qu’elle suit en tant que groupe UAC-0006 \u00e0 l’aide du malware SmokeLoader au cours de la premi\u00e8re semaine d’octobre 2023.<\/p>\n “Des adresses e-mail l\u00e9gitimes compromises sont utilis\u00e9es pour envoyer des e-mails, et SmokeLoader est livr\u00e9 aux PC de plusieurs mani\u00e8res”, CERT-UA dit<\/a>.<\/p>\n “L’intention des attaquants est d’attaquer les ordinateurs des comptables afin de voler les donn\u00e9es d’authentification (identifiant, mot de passe, cl\u00e9\/certificat) et\/ou de modifier les d\u00e9tails des documents financiers dans les syst\u00e8mes bancaires \u00e0 distance afin d’envoyer des paiements non autoris\u00e9s.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Rapports-CERT-UA-11-fournisseurs-de-telecommunications-ukrainiens-touches-par-des.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n