Une cyberattaque motivée par le profit cible de grandes entreprises mexicaines et d'exchanges de cryptomonnaies

La division de recherche et d'intelligence de Blackberry a mis en garde contre une cyberattaque à motivation financière ciblant les échanges de cryptomonnaies mexicains à haute valeur nette, les banques et les grandes entreprises avec plus de 100 millions de dollars de revenus bruts.

Les attaquants ont été tracés jusqu'au Mexique et sont censés être basés en Amérique latine.

Méthodologie d'attaque sophistiquée

Le rapport de Blackberry met en évidence l'utilisation d'un outil d'accès à distance open-source appelé AllaKore RAT par les acteurs de la menace. Cet outil est fortement modifié pour permettre le vol d'informations utilisateur sensibles, y compris les identifiants bancaires et les données d'authentification uniques. 

Les informations volées sont transmises à un serveur de commande et de contrôle (C2), facilitant la fraude financière.

L'une des caractéristiques notables de cette cyberattaque est sa méthode d'infiltration. Les attaquants cherchent à installer l'AllaKore RAT sur les ordinateurs et bases de données gérés par l'entreprise, dissimulant souvent leurs actions derrière des schémas de nommage officiels et des liens. 

Cette méthode leur a permis de contourner la suspicion des employés, ce qui en fait une menace difficile à détecter.

La portée de cette cybermenace s'étend au-delà du secteur financier. Bien que les échanges de cryptomonnaies et les banques aient été les cibles principales, de grandes entreprises mexicaines de divers secteurs d'activité ont également été victimes de ces attaques. 

Ces secteurs incluent la vente au détail, l'agriculture, le secteur public, la fabrication, le transport, les services commerciaux et les biens d'équipement.

Grandes entreprises mexicaines sous surveillance

Les attaquants préfèrent les grandes entreprises avec des revenus bruts dépassant 100 millions de dollars. De telles entreprises déclarent directement à l'Institut mexicain de la sécurité sociale (IMSS), ce qui les rend attractives comme cibles. 

Les cybercriminels ont été observés utilisant des adresses IP Starlink au Mexique, confirmant davantage leur concentration sur les entités mexicaines.

Alors que les attaquants affinent leurs tactiques, les nouvelles itérations de l'AllaKore RAT emploient un processus d'installation plus complexe. Le malware est livré aux organisations cibles dans un fichier installateur de logiciel Microsoft. 

Le malware ne s'exécute qu'après avoir confirmé que la victime se trouve au Mexique, indiquant un degré élevé de sophistication dans leur approche.

Connexion latino-américaine

Les instructions en espagnol au sein de la charge utile RAT modifiée suggèrent que l'acteur de la menace responsable de ces attaques est basé en Amérique latine. Cette connexion régionale ajoute plus de complexité à l'enquête et souligne la nécessité d'une coopération internationale pour faire face à cette cybermenace.

Compte tenu de la nature évolutive de cette cybermenace, il est crucial pour les organisations, en particulier celles des secteurs ciblés, de prendre des mesures proactives pour protéger leurs systèmes et données. 

Ces mesures peuvent inclure le renforcement des protocoles de cybersécurité, la mise en œuvre de systèmes robustes de détection d'intrusion et la fourniture de formations en cybersécurité aux employés pour les aider à reconnaître les menaces potentielles.

Efforts collaboratifs

Faire face à cette cybermenace nécessite des efforts collaboratifs des secteurs privé et public. Les entreprises touchées par ces attaques devraient travailler en étroite collaboration avec les agences de police et les experts en cybersécurité pour enquêter et atténuer les dégâts.

De plus, le partage de renseignements sur les menaces et des meilleures pratiques au sein de la communauté des affaires peut aider à renforcer les défenses contre les attaques futures.