Le téléchargeur EMPTYSPACE cible les victimes italiennes
UNC4990, un acteur malveillant motivé par des raisons financières, utilise des périphériques USB armés comme premier moyen d'infecter les organisations en Italie. Selon un rapport de Mandiant, une société de sécurité acquise par Google en 2022, les attaques ciblent spécifiquement divers secteurs, notamment la santé, les transports, la construction et la logistique.
Le mode opératoire de UNC4990 implique une infection USB généralisée suivie du déploiement du téléchargeur EMPTYSPACE. Lors de ces opérations, le groupe s'appuie sur des sites tiers tels que GitHub, Vimeo et Ars Technica pour héberger des étapes supplémentaires codées, qui sont téléchargées et décodées via PowerShell en amont de la chaîne d'exécution.
Qui est l’acteur de menace UNC4990 ?
Actif depuis fin 2020, l’UNC4990 fonctionnerait depuis l’Italie, compte tenu de son utilisation intensive de l’infrastructure italienne à des fins de commandement et de contrôle (C2). L’objectif ultime de l’UNC4990 reste flou, et il n’est pas certain que le groupe serve uniquement de facilitateur d’accès initial pour d’autres acteurs menaçants. Dans un cas, un mineur de cryptomonnaie open source aurait été déployé après des mois d’activité de balisage.
Mécanisme d’infection EMPTYSPACE
Le processus d'infection commence lorsqu'une victime double-clique sur un fichier de raccourci LNK malveillant sur un périphérique USB amovible, déclenchant l'exécution d'un script PowerShell. Ce script est responsable du téléchargement d'EMPTYSPACE (également connu sous le nom de BrokerLoader ou Vetta Loader) à partir d'un serveur distant via un script PowerShell intermédiaire hébergé sur Vimeo.
Quatre variantes d'EMPTYSPACE ont été identifiées, écrites en Golang, .NET, Node.js et Python. Ces variantes servent de conduits pour récupérer les charges utiles de l'étape suivante via HTTP à partir du serveur C2, y compris une porte dérobée nommée QUIETBOARD.
Au cours de cette phase, des sites Web populaires comme Ars Technica, GitHub, GitLab et Vimeo sont utilisés pour héberger la charge utile malveillante. Les chercheurs de Mandiant ont notamment souligné que le contenu hébergé sur ces services ne présentait aucun risque direct pour les utilisateurs quotidiens, car le contenu isolé était inoffensif.
QUIETBOARD, une porte dérobée basée sur Python, présente un large éventail de fonctionnalités. Il peut exécuter des commandes arbitraires, modifier les adresses de portefeuille crypto copiées dans le presse-papiers, propager le malware sur des lecteurs amovibles, capturer des captures d'écran et collecter des informations système. De plus, la porte dérobée dispose de capacités d'extension modulaires, lui permettant d'exécuter des modules Python indépendants tels que des mineurs de pièces et de récupérer et d'exécuter dynamiquement du code Python à partir du serveur C2.
