21 Déc
Introduction
Le paysage de la cybersécurité est en constante évolution, marqué par l’émergence de nouveaux acteurs menaçants ainsi que par la réapparition de groupes historiques. Parmi eux, le groupe Infy, également connu sous le nom de “Prince of Persia”, a récemment refait surface après plusieurs années de silence. Ce groupe iranien de type APT (Advanced Persistent Threat) a attiré l’attention des experts en raison de son expansion géographique et de l’utilisation de nouvelles techniques malveillantes sophistiquées.
Le profil d’Infy : un acteur historique de l’espionnage
Depuis sa première activité connue en 2004, Infy a démontré sa capacité à passer sous le radar. Contrairement à d’autres groupes iraniens plus médiatisés tels que Charming Kitten ou MuddyWater, Infy est resté discret tout en conduisant des opérations de cyberespionnage ciblées. Les chercheurs ont identifié deux souches principales de leurs malwares, Foudre et Tonnerre, utilisés pour profiler les victimes et exfiltrer des données sensibles. Ces programmes malveillants sont généralement déployés via des campagnes d’hameçonnage.
Les coordonnées relatives aux nouvelles campagnes d’Infy
Les récentes analyses ont révélé plusieurs nouvelles campagnes menées par Infy, visant des cibles diverses en Iran, en Irak, en Inde, et même au Canada. Ces campagnes mettent en évidence la capacité de ce groupe à adapter ses outils. Par exemple, Foudre et Tonnerre ont été repérés dans leurs versions les plus récentes, chacune intégrant de nouvelles fonctionnalités pour améliorer leur résilience grâce à un algorithme de génération de domaine (DGA).
Techniques avancées de distribution de malwares
Le groupe a pris soin de modifier ses méthodes de distribution. Alors qu’il utilisait initialement des macros Excel malveillantes, il préfère désormais intégrer directement des exécutables dans ces documents. De plus, un processus de validation RSA a été ajouté pour vérifier l’authenticité des serveurs de commande et de contrôle (C2) avant toute interaction avec les malwares déployés.
Les infrastructures de commande et contrôle : un aperçu
Les dernières études de SafeBreach ont mis en lumière l’infrastructure complexe utilisée par Infy. Un répertoire spécial nommé “key” est réservé à la validation des C2, tandis que d’autres dossiers stockent des journaux de communication et des fichiers exfiltrés. Cette architecture robuste permet au groupe de maintenir ses opérations sans interruptions majeures, même face à des contre-mesures de cybersécurité.
Utilisation innovante de Telegram
Un autre aspect intrigant est l’exploitation de la messagerie Telegram par le malware Tonnerre. Certaines versions récentes de ce malware sont conçues pour communiquer avec un groupe Telegram spécifique, qui sert à diffuser des commandes ou à recevoir des données exfiltrées. Cette approche montre comment les cybercriminels innovent pour utiliser des canaux de communication apparemment anodins.
Actions préventives et recommandations
Pour contrer les menaces d’Infy, il est essentiel de renforcer la vigilance autour des e-mails et des fichiers attachés, principaux vecteurs de cette menace. Les entreprises doivent également déployer des technologies de protection avancées, telles que les solutions EDR, et former leurs équipes internes sur les pratiques d’hygiène numérique.
Conclusion
Le retour du groupe Infy illustre les défis permanents auxquels les entreprises et gouvernements doivent faire face. Alors que ce groupe reste discret dans ses activités, son approche sophistiquée et ses nouvelles méthodes le placent parmi les acteurs les plus dangereux du paysage cyber actuel. Chez Lynx Intel, nous pouvons vous accompagner pour élaborer des stratégies robustes face à ces menaces. Contactez-nous pour en savoir plus.
