La panoplie d\u2019outils des cybercriminels est en constante \u00e9volution. Dernier exemple en date : le cadre malveillant MATA que nos experts ont r\u00e9cemment d\u00e9couvert. Les cybercriminels l\u2019utilisaient pour attaquer les infrastructures des entreprises dans le monde entier. Il peut fonctionner sous diff\u00e9rents syst\u00e8mes d\u2019exploitation et il est dot\u00e9 d\u2019un large \u00e9ventail d\u2019outils malveillants.<\/p>\n
Les malfaiteurs peuvent potentiellement utiliser MATA \u00e0 des fins criminelles tr\u00e8s diverses. Cependant, dans les cas que nous avons analys\u00e9s, les cybercriminels tentaient de trouver et de voler des donn\u00e9es dans les bases de donn\u00e9es des clients dans l\u2019infrastructure des victimes. Dans au moins un cas, ils ont \u00e9galement utilis\u00e9 MATA pour diffuser un ransomware (nos experts promettent une \u00e9tude s\u00e9par\u00e9e de cet incident).<\/p>\n
La sph\u00e8re d\u2019int\u00e9r\u00eat des attaquants \u00e9tait assez large. Parmi les victimes identifi\u00e9es de MATA figuraient des d\u00e9veloppeurs de logiciels, des fournisseurs d\u2019acc\u00e8s \u00e0 Internet, des sites de e-commerce, etc. La g\u00e9ographie de l\u2019attaque \u00e9tait \u00e9galement assez \u00e9tendue : nous avons d\u00e9tect\u00e9 des traces de l\u2019activit\u00e9 du groupe en Pologne, en Allemagne, en Turquie, en Cor\u00e9e, au Japon et en Inde.<\/p>\n
MATA n\u2019est pas simplement un logiciel malveillant riche en fonctionnalit\u00e9s. C\u2019est une sorte de constructeur permettant de charger des outils au fur et \u00e0 mesure des besoins. Commen\u00e7ons par le fait que MATA peut attaquer des ordinateurs utilisant les trois syst\u00e8mes d\u2019exploitation les plus populaires : Windows, Linux et macOS.<\/p>\n
Nos experts ont d\u2019abord d\u00e9tect\u00e9 des attaques MATA visant les appareils Windows. Elles se d\u00e9roulent en plusieurs \u00e9tapes. Au d\u00e9but, les op\u00e9rateurs MATA ont fait tourner un chargeur sur l\u2019ordinateur de la victime qui a d\u00e9ploy\u00e9 le module dit orchestrateur, qui, \u00e0 son tour, a t\u00e9l\u00e9charg\u00e9 des modules capables de diverses fonctions malveillantes.<\/p>\n
Selon les caract\u00e9ristiques du sc\u00e9nario d\u2019attaque sp\u00e9cifique, les modules pouvaient \u00eatre charg\u00e9s \u00e0 partir d\u2019un serveur HTTP ou HTTPS distant, \u00e0 partir d\u2019un fichier crypt\u00e9 sur le disque dur, ou transf\u00e9r\u00e9s par l\u2019infrastructure MataNet sur une connexion TLS 1.2. Les diff\u00e9rents modules MATA assortis peuvent :<\/p>\n
Apr\u00e8s une enqu\u00eate plus pouss\u00e9e, nos experts ont trouv\u00e9 un ensemble d\u2019outils similaire pour Linux. En plus de la version Linux de l\u2019orchestrateur et des plug-ins, il contenait l\u2019utilitaire de ligne de commande l\u00e9gitime Socat<\/a> et des scripts pour exploiter la vuln\u00e9rabilit\u00e9 CVE-2019-3396 dans le serveur Confluence d\u2019Atlassian.<\/p>\n L\u2019ensemble de plug-ins est quelque peu diff\u00e9rent de celui de Windows. Il y a notamment un plug-in suppl\u00e9mentaire par lequel MATA essaie d\u2019\u00e9tablir une connexion TCP en utilisant le port 8291 (utilis\u00e9 pour administrer les appareils fonctionnant sous RouterOS) et le port 8292<\/a> (utilis\u00e9 dans le logiciel Bloomberg Professional). Si la tentative d\u2019\u00e9tablir une connexion est r\u00e9ussie, le plug-in transf\u00e8re le journal au serveur de C&C. Cette fonction sert probablement \u00e0 localiser de nouvelles cibles.<\/p>\n Quant aux outils macOS, ils ont \u00e9t\u00e9 trouv\u00e9s dans une application infect\u00e9e par un cheval de Troie bas\u00e9e sur un logiciel libre. En termes de fonctionnalit\u00e9s, la version de macOS \u00e9tait presque identique \u00e0 sa cousine de Linux.<\/p>\n Vous trouverez une description technique d\u00e9taill\u00e9e du cadre, ainsi que des indicateurs de compromis, dans l\u2019article correspondant sur Securelist.<\/a><\/p>\n Nos experts relient MATA au groupe APT Lazarus, et les attaques men\u00e9es dans ce cadre sont assur\u00e9ment cibl\u00e9es. Les chercheurs sont certains que MATA continuera \u00e0 \u00e9voluer. C\u2019est pourquoi nous recommandons que m\u00eame les petites entreprises pensent \u00e0 d\u00e9ployer des technologies avanc\u00e9es pour se prot\u00e9ger non seulement contre les menaces de masse, mais aussi contre les menaces plus complexes. Plus pr\u00e9cis\u00e9ment, nous proposons une solution int\u00e9gr\u00e9e qui combine la plateforme de protection des points d\u2019extr\u00e9mit\u00e9 (EPP) et la fonctionnalit\u00e9 de d\u00e9tection et de r\u00e9ponse des points d\u2019extr\u00e9mit\u00e9 (EDR) avec des outils suppl\u00e9mentaires. Vous pouvez en savoir plus \u00e0 propos de celle-ci sur notre site internet<\/a>.<\/p>\n\n","protected":false},"excerpt":{"rendered":" Nos experts ont d\u00e9tect\u00e9 un cadre de logiciels malveillants que les cybercriminels utilisent pour attaquer diff\u00e9rents syst\u00e8mes d’exploitation. <\/p>\n","protected":false},"author":2581,"featured_media":15354,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2112,3150,3151],"tags":[1135,2794],"class_list":{"0":"post-15353","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-attaques-ciblees","11":"tag-lazarus"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/mata-framework\/15353\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/mata-framework\/21618\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/mata-framework\/17082\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/mata-framework\/8456\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/mata-framework\/22890\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/mata-framework\/21077\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/mata-framework\/19759\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/mata-framework\/23556\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/mata-framework\/22387\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/mata-framework\/28793\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/mata-framework\/8655\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/mata-framework\/36458\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/mata-framework\/15887\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/mata-framework\/13711\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/mata-framework\/24769\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/mata-framework\/25729\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/mata-framework\/22638\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/mata-framework\/27903\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/mata-framework\/27739\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/attaques-ciblees\/","name":"attaques cibl\u00e9es"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15353","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/2581"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=15353"}],"version-history":[{"count":7,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15353\/revisions"}],"predecessor-version":[{"id":15362,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15353\/revisions\/15362"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/15354"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=15353"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=15353"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=15353"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Comment vous prot\u00e9ger<\/h2>\n