Les pirates arment les clés USB sécurisées

Un groupe de cyber-espionnage vise un type spécifique de clé USB sécurisée créée par une société de défense sud-coréenne dans le but d’accéder à ses réseaux à air comprimé.

Selon un billet de blog publié par des chercheurs de Palo Alto Networks, l’attaque a été menée par un groupe appelé Tick qui mène des activités de cyber-espionnage ciblant des organisations au Japon et en Corée.

Les chercheurs ont déclaré que l’armement d’une clé USB sécurisée est une technique d’attaque rare et probablement fait dans un effort pour se propager aux systèmes à air comprimé – les réseaux qui ne sont pas connectés à Internet.

Ils ont ajouté que les logiciels malveillants utilisés dans ces attaques ne tentera d’infecter les systèmes fonctionnant sous Microsoft Windows XP ou Windows Server 2003.

Les chercheurs ont déclaré que indiqué le malware visait intentionnellement plus anciennes, hors de soutien versions de Microsoft Windows installé sur les systèmes sans connectivité Internet.

La clé USB installe un programme appelé "SymonLoader" comme une version trojanisée d’un jeu GO en langue japonaise.

Il extrait ensuite un fichier exécutable caché à partir d’un type spécifique de clé USB sécurisée et l’exécute sur le système compromis.

Selon les chercheurs, si SymonLoader trouve qu’il est sur un Windows XP ou Windows Server 2003 système et constate qu’un appareil nouvellement attaché est une clé USB faite par cette société particulière, alors il va extraire un fichier exécutable inconnu de l’USB.

Les chercheurs ont dit que si l’identité du fichier SymonLoader écrit à l’USB est inconnue, ils ont ajouté qu’ils en savent assez à ce sujet pour savoir qu’il est malveillant.

"Contrairement à HomamLoader, qui nécessite une connexion Internet pour atteindre son serveur C2 pour télécharger des charges utiles supplémentaires, SymonLoader tente d’extraire et d’installer une charge utile cachée inconnue à partir d’un type spécifique de clé USB sécurisée lorsqu’il est branché à un système compromis.

"Cette technique est rare et à peine signalée parmi d’autres attaques à l’état sauvage", ont déclaré les chercheurs.

Javvad Malik, défenseur de la sécurité chez AlienVault, a déclaré à SC Media UK que cette attaque particulière porte tous les signes d’une attaque ciblée très spécifique visant à infecter des instituts ou des machines particuliers – pas trop différent de Stuxnet.

« Les employés qui travaillent dans des organisations sensibles qui ont des réseaux à air comprimé devraient être particulièrement vigilants contre le branchement des appareils. Dans certains cas, même les clés USB approuvées devraient être testées dans un environnement séparé avant d’être chargées dans des zones sécurisées », a-t-il expliqué.

« Mis à part la prévention, les systèmes critiques devraient être dotés de contrôles de détection des menaces qui peuvent alerter l’endroit où un disque infecté a été branché à un point de terminaison et prendre des mesures correctives au-delà de la déclenchement d’une alarme, comme l’isoler d’une machine infectée du reste du réseau. »

Scott Walker, ingénieur principal en solutions chez Bomgar, a déclaré à SC Media UK qu’avec l’accent mis par certains groupes de piratage parrainés par l’État sur les secteurs militaire, financier et énergétique, il est primordial que ces organisations déploient des solutions qui aident à prévenir ces attaques.

« L’intégration d’une formation régulière et à jour en matière de sécurité pour éduquer les employés permettra de s’assurer qu’ils sont au courant des tactiques les plus récentes utilisées pour cibler les systèmes et de ce qui peut être fait pour les prévenir.

« En outre, la mise en œuvre de solutions pour s’assurer que les employés n’ont accès qu’aux zones du réseau et aux appareils dont leur rôle a besoin, peut atténuer ces types d’attaques. Cela semble simple, mais en réalité, c’est un domaine souvent négligé », a-t-il dit.

itnews (en)

0 replies

Leave a Reply

Want to join the discussion?
Feel free to contribute!

Leave a Reply

Your email address will not be published.