Comment se protéger des attaques de Kimsuky avec un RDP Wrapper personnalisé ?
Les experts en sécurité informatique alertent sur une nouvelle campagne sophistiquée de cyberespionnage menée par le groupe nord-coréen Kimsuky, utilisant des outils personnalisés pour accéder aux machines compromises. Voici un résumé des dernières observations.
Une campagne de spear-phishing sophistiquée
Selon les chercheurs d’AhnLab Security Intelligence Center (ASEC), les pirates de Kimsuky ont récemment mis en place des attaques de spear-phishing utilisant des fichiers malveillants déguisés en documents PDF ou Word, afin de compromettre les systèmes ciblés. Ces e-mails contiennent des informations personnalisées sur les destinataires, ce qui suggère un travail de reconnaissance préalable des pirates.
En cas d’ouverture du fichier malveillant, des scripts PowerShell sont exécutés pour télécharger des charges malveillantes depuis un serveur distant contrôlé par les attaquants. Parmi ces charges, on retrouve PebbleDash, un outil de prise de contrôle, ainsi que RDP Wrapper, une version modifiée permettant un accès distant persistant via le protocole RDP.
Les pirates utilisent également des outils proxy pour contourner les restrictions réseau et assurer un accès au système compromis, même en cas de blocage des connexions RDP directes.
RDP Wrapper : une porte dérobée discrète
La version modifiée de RDP Wrapper utilisée par Kimsuky permet d’activer le protocole Bureau à distance sur des systèmes qui ne le prennent pas en charge nativement, tout en contournant les détections antivirus. Cela offre plusieurs avantages, notamment une évasion efficace des détections, un accès plus confortable via une interface graphique, et la possibilité de contourner les restrictions réseau grâce aux outils de proxy.
Une fois installés sur la machine compromise, les pirates déploient divers logiciels malveillants tels qu’un keylogger, un infostealer nommé forceCopy et un ReflectiveLoader en PowerShell permettant l’exécution de charges malveillantes en mémoire.
Pour plus d’informations sur les indicateurs de compromission (IOC), vous pouvez consulter le rapport complet des chercheurs.
Source : www.it-connect.fr
