Une campagne de cyberattaque sophistiquée, attribuée au groupe de menaces persistantes avancées (APT) connu sous le nom de Librarian Ghouls (également Rare Werewolf et Rezet), a ciblé activement des entités russes et de la CEI. Le groupe utilise des logiciels tiers légitimes pour établir un accès à distance, voler des identifiants et déployer des mineurs de cryptomonnaie XMRig, affectant des centaines d'entreprises industrielles et d'écoles d'ingénieurs.
Points clés à retenir
-
Phishing sophistiqué : Librarian Ghouls utilise des e-mails de phishing très convaincants, adaptés aux cibles russophones.
-
Abus de logiciels légitimes : Une caractéristique distinctive est l'utilisation extensive d'outils tiers légitimes, ce qui rend la détection et l'attribution difficiles.
-
Opérations furtives : Les heures de réveil et d'arrêt programmées sont conçues pour masquer leurs activités aux utilisateurs.
-
Double objectif : Le groupe vise à la fois le vol de données (identifiants, portefeuilles crypto) et le gain financier par le cryptojacking.
-
Menace continue : La campagne reste active, avec un raffinement continu des tactiques et des outils observés par les chercheurs en cybersécurité.
Librarian Ghouls : Une menace persistante
Rare Werewolf est actif depuis au moins 2019, se concentrant constamment sur les organisations en Russie et dans la Communauté des États indépendants (CEI). Leurs opérations, qui se sont poursuivies jusqu'en mai 2025, ciblent principalement les entreprises industrielles et les écoles d'ingénieurs, avec des victimes également signalées en Biélorussie et au Kazakhstan. Les tactiques du groupe suggèrent une motivation potentielle de hacktivisme, caractérisée par leur dépendance à l'égard de logiciels légitimes facilement disponibles plutôt que de malwares développés sur mesure.
Modus Operandi : Phishing et outils légitimes
Le vecteur d'infection initial pour Librarian Ghouls est constitué d'e-mails de phishing très ciblés. Ces e-mails, souvent rédigés en russe et contenant des noms de fichiers et des documents leurres en russe, sont déguisés en communications officielles ou en ordres de paiement. Ils incluent des archives protégées par mot de passe contenant des exécutables malveillants. Une fois qu'une victime ouvre ces fichiers, une chaîne d'infection complexe est initiée :
-
Charge utile initiale : Un programme d'installation, souvent créé avec Smart Install Maker, déploie des logiciels légitimes comme 4t Tray Minimizer pour masquer leur présence.
-
Accès à distance et exfiltration de données : Les charges utiles intermédiaires récupèrent des outils supplémentaires à partir de serveurs distants, notamment :
-
AnyDesk : Pour le contrôle à distance des machines compromises.
-
Blat : Un utilitaire pour envoyer des données volées via SMTP.
-
Defender Control : Pour désactiver Windows Defender.
-
WinRAR 3.80 personnalisé : Pour la compression des données.
-
WebBrowserPassView : Pour voler les identifiants stockés dans le navigateur.
-
Mipko Personal Monitor : Pour surveiller les victimes, y compris les captures d'écran et les frappes au clavier.
-
ngrok : Pour des connexions de services réseau sécurisées.
-
NirCmd : Pour exécuter des scripts de manière furtive.
-
-
Opérations planifiées : Les attaquants programment les appareils infectés pour qu'ils se réveillent à 1h du matin et s'éteignent à 5h du matin, heure locale. Cette fenêtre de quatre heures leur permet de mener leurs activités, telles que le vol de données et le minage de crypto, tout en minimisant les soupçons de l'utilisateur.
-
Vol de données : Le groupe cible spécifiquement :
-
Les identifiants de portefeuille de cryptomonnaie et les phrases de récupération.
-
Les dumps des clés de registre HKLM\SAM et HKLM\SYSTEM.
-
-
Minage de cryptomonnaie : Après l'exfiltration des données, le mineur de cryptomonnaie XMRig est installé. Le mineur est configuré en fonction des informations système de la victime (cœurs de CPU, RAM, GPU) pour optimiser les opérations de minage.
Les organisations en Russie et dans les pays de la CEI sont invitées à renforcer leurs défenses en matière de cybersécurité, à mettre en œuvre des mesures de sécurité robustes pour les e-mails et à sensibiliser leurs employés aux menaces de phishing afin d'atténuer les risques posés par ce groupe APT en évolution.
Sources
-
Rare Werewolf APT utilise des logiciels légitimes dans des attaques contre des centaines d'entreprises russes, The Hacker News.
-
Un groupe de piratage de cryptojacking pirate des centaines d'appareils pour miner de la crypto, Cointelegraph.
-
Le groupe APT 'Librarian Ghouls' cible les organisations, GBHackers News.
-
Librarian Ghouls APT mène des attaques avec vol de données et déploiement de mineurs de crypto, Securelist.
-
Le groupe de hackers Rare Werewolf détourne des appareils russes pour miner de la crypto et voler des données, Crypto News.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.