US charges Russian for infecting 80,000 freelancers with malware

Inculpation d’un cybercriminel russe pour une campagne de phishing massive

Un ressortissant russe, Searzhudin Tamirlanovich Aktulaev, a été extradé aux États-Unis après avoir orchestré une vaste campagne de phishing visant 80 000 freelances. Entre 2016 et 2017, l’attaquant a utilisé 255 faux comptes sur une plateforme de travail en ligne pour diffuser des fichiers Microsoft Excel contenant des macros malveillantes.

Points clés :

• Mode opératoire : Utilisation d’e-mails de phishing via une plateforme de messagerie professionnelle pour inciter les victimes à ouvrir des pièces jointes vérolées.
• Objectifs : Exfiltration de données personnelles, vol d’identifiants de connexion e-commerce et fraude financière.
• Infrastructure : Utilisation de serveurs de commande et de contrôle (C2) financés par cryptomonnaies pour piloter les machines infectées.
• Impact : Des dizaines de milliers d’ordinateurs compromis, dont la moitié situés aux États-Unis.

Vulnérabilités exploitées :

• Exécution de macros : L’attaque reposait sur l’ingénierie sociale poussant les utilisateurs à activer les macros dans des documents Microsoft Office.
• Logiciels de contrôle à distance : Exploitation détournée de TeamViewer (via le malware TVRAT) et de VNC Viewer (via DarkVNC) pour prendre le contrôle total des systèmes à l’insu des victimes.
• Note : Aucune CVE spécifique n’a été mentionnée dans l’article, l’attaque reposant sur l’usage malveillant d’outils légitimes.

Recommandations de sécurité :

• Désactivation des macros : Restreindre strictement l’exécution automatique des macros dans les suites bureautiques (via GPO ou politiques de sécurité).
• Sensibilisation : Former les utilisateurs à la méfiance envers les pièces jointes provenant de plateformes de messagerie, même sur des réseaux professionnels connus.
• Surveillance réseau : Détecter et bloquer les communications sortantes inhabituelles vers des domaines ou IP suspectes (trafic “call-back” vers des serveurs C2).
• Protection des accès : Appliquer systématiquement l’authentification multifacteur (MFA) pour protéger les identifiants de connexion, limitant l’utilité des données volées.

Source