{"id":11509,"date":"2021-11-01T12:09:01","date_gmt":"2021-11-01T17:09:01","guid":{"rendered":"https:\/\/maghreb-observateur.com\/?p=11509"},"modified":"2021-11-01T12:09:02","modified_gmt":"2021-11-01T17:09:02","slug":"squid-game-utilise-comme-leurre-pour-infiltrer-le-malware-dridex","status":"publish","type":"post","link":"https:\/\/maghreb-observateur.com\/?p=11509","title":{"rendered":"Squid Game utilis\u00e9 comme leurre pour infiltrer le malware Dridex"},"content":{"rendered":"\n

Technologie :<\/strong> Les messages ont pour objet des phrases telles que “Squid Game est de retour, regardez la nouvelle saison avant tout le monde” ou pr\u00e9tendent offrir aux victimes une place dans le casting de la deuxi\u00e8me saison de l’\u00e9mission.<\/p>\n\n\n\n

\"la<\/figure>\n\n\n\n

Par\u00a0Jonathan Greig\u00a0<\/p>\n\n\n\n

\"Squid<\/figure>\n\n\n\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Proofpoint\u00a0a trouv\u00e9 des preuves\u00a0qu’un groupe de cybercriminels utilise la popularit\u00e9 de la s\u00e9rie “Squid Game” de Netflix pour diffuser le malware Dridex.<\/p>\n\n\n\n

Dans un billet de blog, Proofpoint a indiqu\u00e9 que TA575, un “acteur important de la cybercriminalit\u00e9”, a envoy\u00e9 des courriels en se faisant passer pour une personne travaillant sur l’\u00e9mission, incitant les gens \u00e0 t\u00e9l\u00e9charger des pi\u00e8ces jointes malveillantes ou \u00e0 remplir des formulaires contenant des informations sensibles. publicit\u00e9 <\/p>\n\n\n\n

Les e-mails ont pour objet des messages tels que “Squid Game is back, watch new season before anyone else”, “Invite for Customer to access the new sesason”, “Squid game new season commercials casting preview” et “Squid game scheduled season commercials talent cast schedule”.<\/p>\n\n\n\n

Proofpoint a d\u00e9clar\u00e9 avoir trouv\u00e9 des milliers d’e-mails utilisant ces leurres et ciblant divers secteurs d’activit\u00e9.<\/p>\n\n\n\n

Certains de ces e-mails tentent d’attirer les victimes en leur disant qu’elles pourraient participer \u00e0 l’\u00e9mission si elles t\u00e9l\u00e9chargeaient le document et le remplissaient.<\/p>\n\n\n\n

“Les pi\u00e8ces jointes sont des documents Excel contenant des macros qui, si elles sont activ\u00e9es, permettent de t\u00e9l\u00e9charger le cheval de Troie bancaire Dridex, dont l’identifiant est ‘22203’, \u00e0 partir d’URL Discord. Dridex est un cheval de Troie bancaire prolifique distribu\u00e9 par de multiples affili\u00e9s qui peut conduire au vol de donn\u00e9es et \u00e0 l’installation de logiciels malveillants de suivi tels que des ransomwares”, ont \u00e9crit Axel F et Selena Larson, chercheurs chez Proofpoint.<\/p>\n\n\n\n

\"image-20211028123421-1.jpg\"\/<\/figure>\n\n\n\n

Proofpoint<\/em><\/p>\n\n\n\n

Les chercheurs ont expliqu\u00e9 que l’entreprise suit TA575 depuis fin 2020, notant que le groupe distribue g\u00e9n\u00e9ralement Dridex par le biais “d’URL malveillantes, de pi\u00e8ces jointes Microsoft Office et de fichiers prot\u00e9g\u00e9s par mot de passe.”<\/p>\n\n\n\n

“En moyenne, TA575 envoie des milliers d’emails par campagne impactant des centaines d’organisations. TA575 utilise \u00e9galement le r\u00e9seau de diffusion de contenu (CDN) Discord pour h\u00e9berger et distribuer Dridex”, ont d\u00e9clar\u00e9 les chercheurs de Proofpoint, ajoutant que Discord est devenu un “service d’h\u00e9bergement de logiciels malveillants populaire pour les cybercriminels.”<\/p>\n\n\n\n

Le gang utilise une vari\u00e9t\u00e9 de leurres pour inciter les victimes \u00e0 cliquer sur des liens ou \u00e0 t\u00e9l\u00e9charger des documents, en jouant souvent sur la culture pop ou en d\u00e9ployant un langage li\u00e9 aux factures dans les e-mails.<\/p>\n\n\n\n

Sherrod DeGrippo, vice-pr\u00e9sident de la d\u00e9tection et de la r\u00e9ponse aux menaces chez Proofpoint, a d\u00e9clar\u00e9 \u00e0 ZDNet que Dridex est un cheval de Troie bancaire utilis\u00e9 pour voler des informations bancaires. Le malware permet \u00e0 l’acteur de la menace de siphonner de l’argent directement du compte bancaire de la victime, a d\u00e9clar\u00e9 DeGrippo.<\/p>\n\n\n\n

“Mais Dridex est \u00e9galement utilis\u00e9 pour collecter des informations ou comme chargeur de logiciels malveillants qui peuvent conduire \u00e0 des infections de suivi telles que les ransomwares”, a ajout\u00e9 M. DeGrippo.<\/p>\n\n\n\n

Selon des experts en cybers\u00e9curit\u00e9 tels que le PDG de ThreatModeler, Archie Agarwal, le groupe criminel TA575 est compos\u00e9 d’opportunistes prolifiques et motiv\u00e9s par l’app\u00e2t du gain, sp\u00e9cialis\u00e9s dans les logiciels malveillants Dridex et exploitant de nombreux serveurs Cobalt Strike.<\/p>\n\n\n\n

Les logiciels malveillants Dridex et les serveurs Cobalt Strike sont tous deux des exemples de r\u00e9utilisation du travail d’autrui, a d\u00e9clar\u00e9 M. Agarwal, expliquant que Dridex remonte \u00e0 2015 et \u00e9tait connu pour \u00eatre sp\u00e9cialis\u00e9 dans le vol de justificatifs bancaires.<\/p>\n\n\n\n

“Tirer parti des questions et tendances chaudes est le modus operandi d’un tel groupe qui enverra une multitude d’e-mails de phishing afin d’attraper quelques \u00e2mes sans m\u00e9fiance dans leur pi\u00e8ge”, a d\u00e9clar\u00e9 Agarwal \u00e0 ZDNet.<\/p>\n\n\n\n

Selon Chris Morgan, analyste principal des renseignements sur les menaces chez Digital Shadows, le groupe est connu pour ses campagnes de phishing \u00e0 grande \u00e9chelle visant plusieurs organisations en m\u00eame temps.<\/p>\n\n\n\n

Si Dridex \u00e9tait \u00e0 l’origine utilis\u00e9 comme cheval de Troie bancaire, il a \u00e9t\u00e9 d\u00e9velopp\u00e9 et permet d\u00e9sormais diverses fonctionnalit\u00e9s, telles que l’acc\u00e8s par porte d\u00e9rob\u00e9e aux r\u00e9seaux concern\u00e9s et l’usurpation d’identit\u00e9 d’exp\u00e9diteur d’e-mails, a expliqu\u00e9 M. Morgan.<\/p>\n\n\n\n

“Le malware peut \u00e9galement conduire \u00e0 l’installation de malware de suivi et a \u00e9t\u00e9 pr\u00e9c\u00e9demment observ\u00e9 en tandem avec une activit\u00e9 de ransomware”, a d\u00e9clar\u00e9 Morgan. “Dridex partage des chevauchements de code avec plusieurs types de ransomware, notamment ‘Grief’, ‘DopplePaymer’, ‘WastedLocker’ et ‘Macaw’. Il est probable que plusieurs de ces familles de ransomware aient \u00e9t\u00e9 d\u00e9velopp\u00e9es par la m\u00eame \u00e9quipe responsable du malware Dridex.”<\/p>\n\n\n\n

Hank Schless, directeur principal des solutions de s\u00e9curit\u00e9 chez Lookout, a d\u00e9clar\u00e9 que tout au long de la pand\u00e9mie de COVID-19, les cybercriminels ont utilis\u00e9 une vari\u00e9t\u00e9 d’accroches li\u00e9es au vaccin ou \u00e0 l’aide gouvernementale comme app\u00e2t pour des e-mails avec des pi\u00e8ces jointes malveillantes.<\/p>\n\n\n\n

M. Schless explique que les donn\u00e9es de Lookout montrent que les acteurs de la menace ciblent fortement les utilisateurs par le biais de canaux mobiles tels que les SMS, les plateformes de m\u00e9dias sociaux, les applications de messagerie tierces, les jeux et m\u00eame les applications de rencontre. Il ajoute que l’une des parties les plus int\u00e9ressantes du rapport est que TA575 utilise le CDN Discord pour h\u00e9berger et diffuser le malware.<\/p>\n\n\n\n

“Cette pratique consistant \u00e0 utiliser des services l\u00e9gitimes comme serveur interm\u00e9diaire de commande et de contr\u00f4le est de plus en plus courante. Nous la voyons fr\u00e9quemment avec des plateformes de stockage de donn\u00e9es comme Dropbox \u00e9galement. Les attaquants agissent ainsi parce que cela peut les aider \u00e0 \u00e9chapper \u00e0 toute d\u00e9tection plus facilement si le trafic semble l\u00e9gitime”, a d\u00e9clar\u00e9 Schless.<\/p>\n\n\n\n

“Squid Games est devenu une \u00e9mission populaire, donc tenter les gens avec l’opportunit\u00e9 de voir la saison 2 en avance ou d’avoir un r\u00f4le dans celle-ci est suffisant pour qu’au moins une cible ouvre le message.”<\/p>\n\n\n\n

Source : “ZDNet.com”<\/a><\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

Technologie : Les messages ont pour objet des phrases telles que “Squid Game est de retour, regardez la nouvelle saison avant tout le monde” ou pr\u00e9tendent offrir aux victimes une place… <\/p>\n","protected":false},"author":87,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"ngg_post_thumbnail":0},"categories":[99,103,106],"tags":[],"_links":{"self":[{"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/posts\/11509"}],"collection":[{"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/users\/87"}],"replies":[{"embeddable":true,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=11509"}],"version-history":[{"count":1,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/posts\/11509\/revisions"}],"predecessor-version":[{"id":11511,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=\/wp\/v2\/posts\/11509\/revisions\/11511"}],"wp:attachment":[{"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=11509"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=11509"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/maghreb-observateur.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=11509"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}