L'opération d'attaque SteganoAmor utilise des images pour propager des logiciels malveillants
Le groupe de menaces connu sous le nom de TA558 a été observé en train d'utiliser la stéganographie, une technique de dissimulation de données dans des images et des fichiers texte, pour distribuer divers types de logiciels malveillants, notamment Agent Tesla, FormBook, Remcos RAT, LokiBot, GuLoader, Snake Keylogger et XWorm.
La société russe de cybersécurité Positive Technologies a rapporté lundi que TA558 utilisait largement la stéganographie, intégrant des scripts et des documents malveillants dans des images et des fichiers texte portant des noms de fichiers tels que greatloverstory.vbs et easytolove.vbs. Cette campagne, baptisée SteganoAmor, cible principalement des secteurs tels que l'industrie, les services, le secteur public, l'énergie électrique et la construction dans les pays d'Amérique latine, bien que des entreprises de Russie, de Roumanie et de Turquie aient également été touchées.
Autres attaques liées à l’acteur menaçant TA558
TA558 a également été observé en train de déployer Venom RAT via des attaques de phishing ciblant des entreprises en Espagne, au Mexique, aux États-Unis, en Colombie, au Portugal, au Brésil, en République dominicaine et en Argentine. Ces attaques commencent généralement par des e-mails de phishing contenant des pièces jointes Microsoft Excel exploitant une faille de sécurité corrigée (CVE-2017-11882) pour télécharger un script Visual Basic, conduisant finalement à l'exécution du malware Agent Tesla. En plus de l'agent Tesla, la chaîne d'attaque peut également fournir FormBook, GuLoader, LokiBot, Remcos RAT, Snake Keylogger et XWorm, tous conçus pour l'accès à distance, le vol de données et la fourniture de charges utiles secondaires.
Pour renforcer sa crédibilité et échapper aux passerelles de messagerie, TA558 envoie des e-mails de phishing à partir de serveurs SMTP compromis et utilise des serveurs FTP infectés pour stocker les données volées. Pendant ce temps, un autre groupe, appelé Lazy Koala par Positive Technologies, cible des organisations gouvernementales en Russie, en Biélorussie, au Kazakhstan, en Ouzbékistan, au Kirghizistan, au Tadjikistan et en Arménie avec un malware connu sous le nom de LazyStealer, visant à récupérer les informations d'identification de Google Chrome.
Cette activité suggère des connexions potentielles avec un autre groupe de piratage, YoroTrooper (également connu sous le nom de SturgeonPhisher), identifié par Cisco Talos, sur la base de la géographie des victimes et des artefacts de logiciels malveillants.
