mai 7, 2024
La cyber-sécurité

Indian Government Employees est la prochaine campagne cible d'un nouveau malware

La prochaine cible de la nouvelle campagne de logiciels malveillants sont les employés du gouvernement indien

L'acteur de la menace Transparent Tribe a été lié à une nouvelle campagne destinée aux organisations gouvernementales indiennes avec des versions trojanisées d'une solution d'authentification à deux facteurs appelée Kavatch.

Sudeep Singh, chercheur chez Zscaler ThreatLabz a dit dans une analyse de jeudi, le groupe abuse des publicités Google à des fins de publicité malveillante pour distribuer des versions dérobées des applications de multi-authentification Kavach (MFA)

La société de cybersécurité a déclaré que des attaques de collecte d'informations d'identification à faible volume ont également été menées par le groupe de menaces. Des sites Web escrocs se faisant passer pour des sites Web officiels du gouvernement indien ont été créés pour inciter les utilisateurs involontaires à entrer leurs mots de passe.

Transparent Tribe, également connu sous les surnoms APT36, Operation C-Major et Mythic Leopard, est un collectif adversaire présumé du Pakistan. La tribu identifiée a une histoire  d'entités indiennes et afghanes en grève.

La dernière chaîne d'attaques n'est pas la première fois que l'acteur de la menace vise Kavach (qui signifie "armure" en hindi), une application requise par les utilisateurs avec des adresses e-mail sur les domaines @gov.in et @nic.in pour se connecter au service de messagerie en tant que seconde couche d'authentification.

Les employés du gouvernement indien ciblés par un nouveau malware
Source des images <a href="/fr_ca/httpswwwzscalercomblogssecurity/" researchapt 36 uses new ttps and tools target indian governmental organizations>Échelle Z<a>

Plus tôt en mars, Cisco Talos a dévoilé une campagne de piratage utilisant de faux installateurs Windows pour Kavach comme leurre pour infecter le personnel gouvernemental avec CrimsonRAT et d'autres artefacts.

L'une de leurs tactiques courantes consiste à imiter le gouvernement légitime, l'armée et les organisations connexes pour activer la chaîne de destruction. La dernière campagne menée par l'acteur menaçant ne fait pas exception.

"L'acteur de la menace a enregistré plusieurs nouveaux domaines hébergeant des pages Web se faisant passer pour le portail officiel de téléchargement de l'application Kavach", a déclaré Singh. "Ils ont abusé de la fonctionnalité de recherche payante de Google Ads pour pousser les domaines malveillants en tête des résultats de recherche Google pour les utilisateurs en Inde."

Depuis mai 2022, Transparent Tribe aurait également distribué des versions dérobées de l'application Kavach via des magasins d'applications contrôlés par des attaquants qui prétendent proposer des téléchargements de logiciels gratuits.

Ce site Web apparaît également comme l'un des meilleurs résultats dans les recherches Google, agissant efficacement comme une passerelle pour rediriger les utilisateurs à la recherche de l'application vers l'installateur frauduleux basé sur .NET.

Le groupe, à partir d'août 2022, a également été observé en train d'utiliser un outil d'exfiltration de données précédemment non documenté nommé LimePad, qui est conçu pour télécharger des fichiers d'intérêt de l'hôte infecté vers le serveur de l'attaquant.

Zscaler a déclaré avoir également identifié un domaine enregistré par Transparent Tribe usurpant la page de connexion de l'application Kavach qui n'était affichée qu'à partir d'une adresse IP indienne, ou bien redirigé le visiteur vers la page d'accueil du Centre national d'informatique de l'Inde.

La page, pour sa part, est équipée pour capturer les informations d'identification saisies par la victime et les envoyer à un serveur distant pour mener de nouvelles attaques contre les infrastructures liées au gouvernement.

L'utilisation des publicités Google et de LimePad indique les tentatives continues de l'acteur menaçant d'évoluer et d'affiner ses tactiques et son ensemble d'outils malveillants.

"APT-36 continue d'être l'un des groupes de menaces persistantes avancées les plus répandus, axé sur le ciblage des utilisateurs travaillant dans des organisations gouvernementales indiennes", a déclaré Singh. "Les applications utilisées en interne dans les organisations gouvernementales indiennes sont un choix populaire de thème d'ingénierie sociale utilisé par le groupe APT-36."

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *

fr_CAFrançais du Canada