Cybercriminalité : TA866, nouvel acteur de la menace

Les chercheurs de la société Proofpoint, spécialistes dans les domaines de la cybersécurité et de la conformité, ont identifié un nouvel acteur de la menace, baptisé TA866. Le groupe, actif depuis octobre 2022, est très organisé et armé pour mener des attaques complexes, et à grande échelle. Il utilise notamment des outils personnalisés, nommé WasabiSeed et Screenshotter, leur permettant d’étudier leur cible avant d’installer des malwares supplémentaires sur les terminaux des victimes.

Tribune – Les recherches Proofpoint révèlent que :

Grâce aux malwares WasabiSeed et Screenshotter, TA866 analyse l’activité des victimes via des captures d’écran afin de déterminer si l’utilisation de charges utiles supplémentaires est pertinente. Dans certains cas, Proofpoint a observé une activité post-exploitation impliquant le bot AHK et le stealer Rhadamanthys.
Les premières campagnes ont été mené en octobre 2022 mais l’activité du groupe s’est poursuivie jusqu’en janvier 2023 ;
Les récentes campagnes semblent être motivées par des raisons financières et ciblent principalement des entreprises aux États-Unis et en Allemagne.

Les récentes activités de TA866 pourraient être en lien avec d’anciennes campagnes, telles qu’observées en mars 2022, qui visaient le personnel de plusieurs gouvernements européens impliqué dans des mouvements de réfugiés suite à la guerre en Ukraine. Des recherches complémentaires sont en cours mais il est fort plausible que TA866 en soit à l’origine.

L’équipe des chercheurs Proofpoint explique que :

« TA866 EST UN ACTEUR INTÉRESSANT À OBSERVER CAR IL COMBINE DES OUTILS DE BASE DE CYBERCRIMINELS, AINSI QUE DES OUTILS PLUS PERSONNALISÉS. DANS LE CAS D’ATTAQUE PAR MALWARE, TOUS LES UTILISATEURS CIBLÉS NE SE VALENT PAS, ET UN NIVEAU DE VALEUR LEUR EST GÉNÉRALEMENT ATTRIBUÉ PAR LES ATTAQUANTS, AFIN D’ÉVALUER S’ILS SONT ‘DIGNES’ DE RECEVOIR UNE CHARGE UTILE. AVEC SCREENSHOTTER ET LE TEMPS PASSÉ À ÉTUDIER SES POTENTIELLES VICTIMES, LE GROUPE EST CAPABLE DE DÉTERMINER AVEC PRÉCISION CETTE VALEUR, ET DE MAXIMISER LA PERTINENCE DE LEURS ATTAQUES. CE MODE OPÉRATOIRE FAIT D’AILLEURS ÉCHO À CERTAINES ACTIVITÉS HISTORIQUES DÉJÀ OBSERVÉES PAR PROOFPOINT ET QUI POURRAIT SUGGÉRER UN OBJECTIF D’ESPIONNAGE EN PLUS DES MOTIVATIONS FINANCIÈRES DE TA866. »

Source