Logiciel malveillant Ande Loader

L'auteur de la cybermenace identifié sous le nom de Blind Eagle a été observé en train d'utiliser un malware de chargement nommé Ande Loader pour distribuer des chevaux de Troie d'accès à distance (RAT) tels que Remcos RAT et NJ RAT . Ces attaques, exécutées au moyen de courriels de phishing, ciblaient spécifiquement les individus hispanophones du secteur manufacturier situé en Amérique du Nord.

Blind Eagle, également connu sous le nom d'APT-C-36, est un acteur menaçant à caractère financier qui a déjà mené des cyberattaques contre des organisations en Colombie et en Équateur. Leur mode opératoire implique le déploiement de divers RAT, notamment AsyncRAT , BitRAT , le Lime RAT , NjRAT , le Remcos RAT et le Quasar RAT .

Le logiciel malveillant Ande Loader est transmis via plusieurs chaînes d'infection

L'expansion du champ de ciblage des acteurs malveillants est évidente dans l'opération d'attaque Ande Loader, qui utilise des archives RAR et BZ2 chargées de phishing pour lancer le processus d'infection.

Les archives RAR, protégées par mots de passe, contiennent un fichier Visual Basic Script (VBScript) malveillant chargé d'établir la persistance dans le dossier de démarrage de Windows. Ce fichier déclenche également l'exécution d'Ande Loader, qui charge ensuite la charge utile Remcos RAT.

Dans un scénario d'attaque alternatif observé par les chercheurs en cybersécurité, une archive BZ2 hébergeant un fichier VBScript est diffusée via un lien de réseau de diffusion de contenu (CDN) Discord. Dans ce cas, le malware Ande Loader supprime NjRAT au lieu du Remcos RAT.

L’acteur menaçant Blind Eagle utilise des crypteurs conçus par Roda et Pjoao1578. Notamment, l'un des crypteurs de Roda dispose d'un serveur codé en dur hébergeant à la fois les composants d'injection du crypteur et des logiciels malveillants supplémentaires utilisés dans la campagne Blind Eagle.

Les infections à RAT peuvent avoir des conséquences dévastatrices

Les RAT menacent les logiciels conçus pour fournir un accès et un contrôle non autorisés sur l'ordinateur ou le réseau d'une victime. Ces infections peuvent avoir des conséquences dévastatrices pour les victimes pour plusieurs raisons :

• Accès non autorisé : les RAT accordent aux attaquants un contrôle à distance sur les systèmes infectés, leur permettant d'exécuter des commandes, d'accéder à des fichiers, de visualiser l'écran et même de contrôler des périphériques tels que des caméras et des microphones. Ce niveau d'accès peut compromettre des informations sensibles, notamment des données personnelles, des dossiers financiers, de la propriété intellectuelle et des informations d'identification.

• Vol de données et espionnage : en accédant au système de la victime, les attaquants peuvent collecter des données précieuses telles que des plans d'affaires, des algorithmes propriétaires, des bases de données clients ou des informations personnelles. Ces données collectées peuvent être exploitées à des fins de gain financier, d’espionnage industriel ou d’usurpation d’identité.

• Manipulation du système : les RAT permettent aux attaquants de manipuler le système de la victime de diverses manières, notamment en installant des logiciels malveillants supplémentaires, en modifiant ou en supprimant des fichiers, en modifiant les configurations du système ou en perturbant des services critiques. De telles manipulations peuvent entraîner une instabilité du système, une corruption des données ou une perte de fonctionnalités.

• Surveillance et surveillance : les RAT incluent souvent des fonctionnalités de surveillance et de surveillance secrètes, permettant aux attaquants d'écouter les conversations, de capturer les frappes au clavier, d'enregistrer l'activité de l'écran ou d'accéder aux flux de webcam. Cette atteinte à la vie privée peut avoir des conséquences psychologiques importantes sur les victimes et peut être particulièrement dévastatrice dans les cas de communications personnelles ou sensibles.

• Propagation et compromission du réseau : les infections RAT peuvent servir de points d'entrée pour une infiltration ultérieure du réseau et la propagation de logiciels malveillants au sein de l'infrastructure d'une organisation. Les attaquants peuvent utiliser les systèmes compromis comme points d'appui pour s'orienter vers des segments de réseau plus sécurisés, élever leurs privilèges et lancer des attaques supplémentaires, provoquant potentiellement des dégâts et des perturbations généralisés.

• Perte financière et conséquences juridiques : les victimes d'infections RAT peuvent subir des pertes financières en raison du vol, de l'extorsion ou de la fraude perpétrée par les attaquants. De plus, les organisations peuvent devoir supporter des coûts importants liés à la réponse aux incidents, aux mesures correctives, aux frais juridiques, aux amendes réglementaires et aux atteintes à la réputation et à la confiance des clients.

Dans l’ensemble, les infections RAT constituent une menace sérieuse pour les individus, les entreprises et les institutions, avec des conséquences potentielles allant des pertes financières et atteintes à la réputation aux responsabilités juridiques et aux risques pour la sécurité nationale. Il souligne l’importance de mesures de cybersécurité robustes, notamment des mises à jour régulières des logiciels, la surveillance du réseau, l’éducation des utilisateurs et le déploiement de technologies avancées de détection et d’atténuation des menaces.