Le groupe APT « Crafty Camel », vraisemblablement lié à l’Iran, a récemment mené une cyberattaque sophistiquée en utilisant des fichiers polygotes pour infiltrer des entreprises liées à l’aviation et aux infrastructures critiques aux Émirats Arabes Unis (EAU). Ce groupe a utilisé une méthode peu courante, combinant plusieurs types de fichiers dans un seul document pour échapper aux protections classiques. Cet article explore les détails de l’attaque, la technique des fichiers polygotes, et les mesures pour se protéger contre de telles menaces.
Fichiers polygotes : une technique avancée de dissimulation
Les fichiers polygotes sont des fichiers capables de se comporter comme plusieurs types de fichiers à la fois, permettant aux attaquants de contourner les mécanismes de détection. Dans ce cas, les attaquants ont utilisé des fichiers Excel et PDF qui contenaient des scripts malveillants, dissimulés sous une apparence innocente. Lorsqu’ils étaient ouverts par les victimes, ces fichiers activaient un cheval de Troie Golang, appelé Sosano, qui permettait une prise de contrôle à distance.
Cible : aviation et infrastructures critiques
L’attaque a ciblé spécifiquement des entreprises dans le secteur de l’aviation et des technologies opérationnelles (OT), soulignant une nouvelle tendance des groupes APT à se concentrer sur des secteurs stratégiques. Ces attaques sont hautement ciblées et visent à obtenir des renseignements sensibles ou à perturber les opérations des entreprises critiques.
Sosano : Le backdoor Golang
Le malware Sosano, utilisé dans cette attaque, est un backdoor relativement volumineux qui permet aux attaquants d’exécuter des commandes à distance, d’effacer des répertoires et de télécharger de nouveaux payloads. Bien qu’il soit peu fonctionnel en termes de fonctionnalités, sa taille et sa complexité rendent l’analyse difficile, ce qui permet aux attaquants de garder un profil bas.
L’attaque de Crafty Camel met en évidence l’usage des fichiers polygotes par des groupes APT pour cibler des industries stratégiques. Les entreprises doivent renforcer leurs défenses contre de telles techniques avancées et s’assurer qu’elles disposent de mécanismes de détection capables d’identifier ces menaces sophistiquées.
