{"id":4495,"date":"2015-04-28T15:16:31","date_gmt":"2015-04-28T15:16:31","guid":{"rendered":"http:\/\/kasperskydaily.com\/france\/?p=4495"},"modified":"2019-11-22T09:25:13","modified_gmt":"2019-11-22T09:25:13","slug":"no-monkeys-for-cozyduke","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/no-monkeys-for-cozyduke\/4495\/","title":{"rendered":"Attention \u00e0 l’APT CozyDuke !"},"content":{"rendered":"

Encore une autre APT de la famille \u00a0\u00bb Duke \u00a0\u00bb attaque des cibles de choix, y compris des bureaux du gouvernement am\u00e9ricain. Il s\u2019agit cette fois de CozyDuke \u00e9galement connu sous le nom de CozyBear, CozyCar ou \u00a0\u00bb Office Monkey\u00a0\u00bb en r\u00e9f\u00e9rence \u00e0 la vid\u00e9o qu\u2019il emploie comme app\u00e2t.<\/p>\n

L\u2019attaque est relativement sophistiqu\u00e9e : cette derni\u00e8re inclut des composants chiffr\u00e9s, des options de non-d\u00e9tection et une s\u00e9rie de composants malveillants plut\u00f4t bien d\u00e9velopp\u00e9s et qui disposent de similarit\u00e9s structurelles avec les menaces ant\u00e9rieures telles que Miniduke, CosmicDuke et Onion Duke.<\/p>\n

Une menace dangereuse<\/h2>\n

Ce qu\u2019il est essentiel de souligner ici est que la m\u00e9thode d\u2019infiltration initiale de l\u2019attaque se base enti\u00e8rement sur des techniques d\u2019ing\u00e9nierie sociale. Et, malheureusement, il s\u2019agit d\u2019une approche efficace dans de nombreuses attaques cibl\u00e9es.
\nComme app\u00e2t, les hackers proposent une hilarante vid\u00e9o sur des singes qui travaillent dans un bureau. Le fichier comprend une vid\u00e9o ex\u00e9cutable qui est diffus\u00e9e via des e-mails de \u00a0\u00bb spear phishing \u00a0\u00bb contenant une pi\u00e8ce jointe ou un lien vers un site Web, parfois vers un site l\u00e9gitime ou tr\u00e8s connu qui a \u00e9t\u00e9 compromis au pr\u00e9alable.<\/p>\n

\"monkeys\"<\/a><\/p>\n

Alors que la vid\u00e9o est lue, le malware est discr\u00e8tement install\u00e9 sur le syst\u00e8me pr\u00eat \u00e0 recevoir des ordres et \u00e0 contr\u00f4ler les composants malveillants depuis les serveurs de commande et contr\u00f4le.<\/p>\n

Les cybercriminels ne se sont pas tromp\u00e9s en pensant que de nombreux destinataires lanceraient la vid\u00e9o. Non seulement ils l\u2019ont visionn\u00e9e, mais ils l\u2019ont partag\u00e9e avec leurs coll\u00e8gues, participant sans le savoir au processus de diffusion du malware. \u00c9tant donn\u00e9 les cibles tr\u00e8s officielles de ce dernier, la quantit\u00e9 d\u2019informations sensibles qui pourraient \u00eatre vol\u00e9e ne peut-\u00eatre que devin\u00e9e.<\/p>\n

La question est donc la suivante : comment \u00e9viter des menaces aussi dangereuses quand m\u00eame vos employ\u00e9s \u00e0 qui vous faites confiance agissent contre la s\u00e9curit\u00e9 que vous avez si bien mise en place ? Il est \u00e9vident qu\u2019il ne faut pas sous-estimer le pouvoir de l\u2019ing\u00e9nierie sociale : combien d\u2019employ\u00e9s consciencieux n\u2019ouvriraient pas un lien dans un (faux) e-mail envoy\u00e9 par leur chef par exemple ?<\/p>\n

Comment \u00e9viter la menace Office Monkey<\/h2>\n

Vous pouvez prendre plusieurs pr\u00e9cautions de s\u00e9curit\u00e9 appel\u00e9es aussi \u00a0\u00bb strat\u00e9gies d\u2019att\u00e9nuation \u00a0\u00bb qui vous permettront de travailler efficacement contre les APT les plus sophistiqu\u00e9es et les plus pr\u00e9par\u00e9es. Par exemple, une simple r\u00e9vision des droits d\u2019administrateur, l\u2019installation des derniers patchs afin de r\u00e9parer certaines vuln\u00e9rabilit\u00e9s ainsi que restreindre les droits d\u2019un certain nombre d\u2019applications pourra att\u00e9nuer les risques d\u2019une attaque cibl\u00e9e jusqu\u2019\u00e0 85%.<\/p>\n

Le contr\u00f4le des applications de Kaspersky Lab gr\u00e2ce \u00e0 son syst\u00e8me de listes blanches dynamiques pourrait \u00eatre un atout essentiel ici. La vid\u00e9o ainsi que les autres composants malveillants de CozyDuke ne pourraient tout simplement pas \u00eatre lanc\u00e9s sans y avoir \u00e9t\u00e9 autoris\u00e9s au pr\u00e9alable par un administrateur syst\u00e8mes.<\/p>\n

\n

Nos chercheurs d\u00e9couvrent une #APT<\/a> ciblant les USA et notamment #laMaisonBlanche<\/a>. #CozyDuke<\/a> http:\/\/t.co\/4qY7v2zvuR<\/a> pic.twitter.com\/qYDdWa1xeb<\/a><\/p>\n

\u2014 Kaspersky France (@kasperskyfrance) April 23, 2015<\/a><\/p><\/blockquote>\n