Une version mise \u00e0 jour d’un framework de porte d\u00e9rob\u00e9e sophistiqu\u00e9 appel\u00e9 MATA<\/strong> a \u00e9t\u00e9 utilis\u00e9 dans des attaques visant plus d\u2019une douzaine d\u2019entreprises d\u2019Europe de l\u2019Est du secteur p\u00e9trolier, gazier et de l\u2019industrie de la d\u00e9fense dans le cadre d\u2019une op\u00e9ration de cyberespionnage qui a eu lieu entre ao\u00fbt 2022 et mai 2023.<\/p>\n “Les auteurs de l’attaque ont utilis\u00e9 des courriers de spear phishing pour cibler plusieurs victimes, certaines ont \u00e9t\u00e9 infect\u00e9es par un malware ex\u00e9cutable Windows en t\u00e9l\u00e9chargeant des fichiers via un navigateur Internet”, Kaspersky dit<\/a> dans un nouveau rapport exhaustif publi\u00e9 cette semaine.<\/p>\n “Chaque document de phishing contient un lien externe pour r\u00e9cup\u00e9rer une page distante contenant un CVE-2021-26411<\/a> exploiter.”<\/p>\n CVE-2021-26411 (score CVSS : 8,8) fait r\u00e9f\u00e9rence \u00e0 une vuln\u00e9rabilit\u00e9 de corruption de m\u00e9moire dans Internet Explorer qui pourrait \u00eatre d\u00e9clench\u00e9e pour ex\u00e9cuter du code arbitraire en incitant une victime \u00e0 visiter un site sp\u00e9cialement con\u00e7u. Il avait d\u00e9j\u00e0 \u00e9t\u00e9 exploit\u00e9 par le groupe Lazarus d\u00e9but 2021 pour cibler des chercheurs en s\u00e9curit\u00e9.<\/p>\n Le cadre multiplateforme MATA a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 en juillet 2020, le liant \u00e0 l’\u00e9quipe prolifique parrain\u00e9e par l’\u00c9tat nord-cor\u00e9en dans les attaques ciblant divers secteurs en Pologne, en Allemagne, en Turquie, en Cor\u00e9e, au Japon et en Inde depuis avril 2018. .<\/p>\n L’utilisation d’une version remani\u00e9e de MATA pour frapper les sous-traitants de la d\u00e9fense avait d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e par Kaspersky en juillet 2023, bien que l’attribution au groupe Lazarus reste au mieux t\u00e9nue en raison de la pr\u00e9sence de techniques utilis\u00e9es par les acteurs Five Eyes APT tels que Purple Lambert, Magenta Lambert. , et Vert Lambert.<\/p>\n Cela dit, la majorit\u00e9 des documents Microsoft Word malveillants cr\u00e9\u00e9s par les attaquants comportent une police cor\u00e9enne appel\u00e9e Malgun Gothic, ce qui sugg\u00e8re que le d\u00e9veloppeur est familier avec le cor\u00e9en ou travaille dans un environnement cor\u00e9en.<\/p>\n La soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Positive Technologies, qui a partag\u00e9 les d\u00e9tails du m\u00eame cadre \u00e0 la fin du mois dernier, suit les op\u00e9rateurs sous le surnom de Dark River.<\/p>\n “L’outil principal du groupe, la porte d\u00e9rob\u00e9e MataDoor, poss\u00e8de une architecture modulaire, avec un syst\u00e8me de transport r\u00e9seau complexe et minutieusement con\u00e7u et des options flexibles de communication entre l’op\u00e9rateur de la porte d\u00e9rob\u00e9e et une machine infect\u00e9e”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Denis Kuvshinov et Maxim Andreev. dit<\/a>.<\/p>\n “L’analyse du code sugg\u00e8re que les d\u00e9veloppeurs ont investi des ressources consid\u00e9rables dans l’outil.”<\/p>\n Les derni\u00e8res cha\u00eenes d’attaque commencent par l’envoi par l’acteur de documents de spear phishing \u00e0 des cibles, dans certains cas en se faisant passer pour des employ\u00e9s l\u00e9gitimes, ce qui indique une reconnaissance pr\u00e9alable et une pr\u00e9paration approfondie. Ces documents incluent un lien vers une page HTML qui int\u00e8gre un exploit pour CVE-2021-26411.<\/p>\n Un compromis r\u00e9ussi conduit \u00e0 l’ex\u00e9cution d’un chargeur qui, \u00e0 son tour, r\u00e9cup\u00e8re un module Validator d’un serveur distant pour envoyer des informations syst\u00e8me et t\u00e9l\u00e9charger des fichiers vers et depuis le serveur de commande et de contr\u00f4le (C2).<\/p>\n Le Validator est \u00e9galement con\u00e7u pour r\u00e9cup\u00e9rer MataDoor, qui, selon Kasperksy, est MATA g\u00e9n\u00e9ration 4, \u00e9quip\u00e9 pour ex\u00e9cuter un large \u00e9ventail de commandes capables de collecter des informations sensibles \u00e0 partir de syst\u00e8mes compromis.<\/p>\n Les attaques se caract\u00e9risent en outre par l’utilisation de logiciels malveillants voleurs pour capturer le contenu du presse-papiers, enregistrer les frappes au clavier, prendre des captures d’\u00e9cran et siphonner les mots de passe et les cookies de Windows Credential Manager et d’Internet Explorer.<\/p>\n Un autre outil remarquable est un module de propagation USB qui permet d’envoyer des commandes au syst\u00e8me infect\u00e9 via un support amovible, permettant probablement aux acteurs malveillants d’infiltrer des r\u00e9seaux isol\u00e9s. Un exploit appel\u00e9 RappelEnfer<\/a> pour \u00e9lever les privil\u00e8ges et contourner les produits de s\u00e9curit\u00e9 des points finaux afin d’atteindre leurs objectifs sans attirer l’attention.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Le-cadre-sophistique-MATA-frappe-les-societes-petrolieres-et-gazieres.jpg\")
<\/a><\/center><\/div>\n