Un certain nombre d’acteurs mena\u00e7ants d’\u00c9tat en Russie et en Chine ont \u00e9t\u00e9 observ\u00e9s en train d’exploiter une faille de s\u00e9curit\u00e9 r\u00e9cente dans l’outil d’archivage WinRAR pour Windows dans le cadre de leurs op\u00e9rations.<\/p>\n
La vuln\u00e9rabilit\u00e9 en question est CVE-2023-38831 (score CVSS : 7,8), qui permet aux attaquants d’ex\u00e9cuter du code arbitraire lorsqu’un utilisateur tente d’afficher un fichier inoffensif dans une archive ZIP. Cette lacune est activement exploit\u00e9e depuis au moins avril 2023.<\/p>\n
Google Thrat Analysis Group (TAG), qui d\u00e9tect\u00e9<\/a> les activit\u00e9s de ces derni\u00e8res semaines, les ont attribu\u00e9es \u00e0 trois clusters diff\u00e9rents qu’il suit sous les surnoms g\u00e9ologiques FROZENBARENTS (alias Sandworm), FROZENLAKE (alias APT28) et ISLANDDREAMS (alias APT40).<\/p>\n L’attaque de phishing li\u00e9e \u00e0 Sandworm a usurp\u00e9 l’identit\u00e9 d’une \u00e9cole ukrainienne de formation \u00e0 la guerre par drones d\u00e9but septembre et a distribu\u00e9 un fichier ZIP malveillant exploitant le CVE-2023-38831 pour diffuser Rhadamanthys, un malware voleur de produits qui est propos\u00e9 \u00e0 la vente au prix de 250 $ pour un abonnement mensuel.<\/p>\n APT28, \u00e9galement affili\u00e9 \u00e0 la Direction principale de l’\u00e9tat-major g\u00e9n\u00e9ral des forces arm\u00e9es de la F\u00e9d\u00e9ration de Russie (GRU<\/a>), comme c’est le cas avec Sandworm, aurait lanc\u00e9 une campagne de courrier \u00e9lectronique ciblant les organisations gouvernementales en Ukraine.<\/p>\n Lors de ces attaques, les utilisateurs ukrainiens ont \u00e9t\u00e9 invit\u00e9s \u00e0 t\u00e9l\u00e9charger un fichier contenant un exploit CVE-2023-38831 \u2013 un document leurre qui se faisait passer pour une invitation \u00e0 un \u00e9v\u00e9nement du Centre Razumkov, un groupe de r\u00e9flexion sur les politiques publiques du pays.<\/p>\n Le r\u00e9sultat est l’ex\u00e9cution d’un script PowerShell nomm\u00e9 IRONJAW qui vole les donn\u00e9es de connexion du navigateur et les r\u00e9pertoires d’\u00e9tat locaux et exporte les informations vers une infrastructure contr\u00f4l\u00e9e par un acteur sur un webhook.[.]site.<\/p>\n Le troisi\u00e8me acteur malveillant \u00e0 exploiter le bug WinRAR est APT40, qui a d\u00e9clench\u00e9 une campagne de phishing ciblant la Papouasie-Nouvelle-Guin\u00e9e dans laquelle les messages \u00e9lectroniques incluaient un lien Dropbox vers une archive ZIP contenant l’exploit CVE-2023-38831.<\/p>\n La s\u00e9quence d’infection a finalement ouvert la voie au d\u00e9ploiement d’un compte-gouttes nomm\u00e9 ISLANDSTAGER, responsable du chargement de BOXRAT, une porte d\u00e9rob\u00e9e .NET qui utilise l’API Dropbox pour la commande et le contr\u00f4le.<\/p>\n La divulgation s’appuie sur les r\u00e9centes d\u00e9couvertes de Cluster25, qui d\u00e9taillent les attaques entreprises par l’\u00e9quipe de piratage APT28 exploitant la faille WinRAR pour mener des op\u00e9rations de collecte d’informations d’identification.<\/p>\n Certains des autres adversaires parrain\u00e9s par l’\u00c9tat qui ont rejoint la m\u00eal\u00e9e sont Konni (qui actions<\/a> chevauchements<\/a> avec un cluster nord-cor\u00e9en suivi sous le nom de Kimsuky) et Dark Pink (alias Saaiwc Group), selon r\u00e9sultats<\/a> du \u00c9quipe Knownsec 404<\/a> et NSFOCUS<\/a>.<\/p>\n “L’exploitation g\u00e9n\u00e9ralis\u00e9e du bug WinRAR montre que les exploits pour les vuln\u00e9rabilit\u00e9s connues peuvent \u00eatre tr\u00e8s efficaces, malgr\u00e9 la disponibilit\u00e9 d’un correctif”, a d\u00e9clar\u00e9 un chercheur de TAG. <\/p>\n Kate Morgan a dit. “M\u00eame les attaquants les plus sophistiqu\u00e9s ne feront que ce qui est n\u00e9cessaire pour atteindre leurs objectifs.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Google-TAG-detecte-les-acteurs-de-menace-soutenus-par-lEtat.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n