GoldenJackal : un acteur malveillant furtif ciblant les réseaux gouvernementaux

GoldenJackal est un groupe de cyberespionnage relativement obscur mais très performant, impliqué dans de nombreuses attaques contre des organisations diplomatiques et gouvernementales, en particulier contre des systèmes physiquement isolés d'Internet. Cet acteur de la menace sophistiqué opère avec un haut degré de furtivité et d'ingéniosité, en utilisant des outils de malwares sur mesure pour compromettre des réseaux sensibles et voler des données confidentielles.

L'évolution des outils de GoldenJackal

Depuis qu’il a attiré l’attention des chercheurs en sécurité en 2023, GoldenJackal a été lié à des attaques dans des régions comme le Moyen-Orient, l’Asie du Sud et l’Europe. Cependant, ses opérations remontent au moins à 2019. Ce qui distingue ce groupe est son utilisation de logiciels malveillants spécialisés pour pénétrer dans des systèmes isolés, c’est-à-dire ceux qui ne sont connectés à aucun réseau, ce qui les rend difficiles à infiltrer à distance.

Le malware GoldenJackal est conçu pour se propager via des clés USB. Un ver, appelé JackalWorm , se propage entre les appareils connectés et est souvent associé à un cheval de Troie connu sous le nom de JackalControl, qui donne aux attaquants le contrôle des systèmes compromis. L'objectif est de collecter et d'exfiltrer des données de cibles de grande valeur, telles que des ordinateurs gouvernementaux, qui sont autrement difficiles d'accès.

Vol de données à partir de réseaux isolés

L'objectif principal du groupe semble être le vol de données de cibles de premier plan. Les chercheurs pensent que GoldenJackal a développé plusieurs versions de logiciels malveillants pour voler des informations sur des ordinateurs isolés. Cette tactique consiste à infecter des clés USB avec des logiciels malveillants, qui transfèrent ensuite les charges utiles entre des machines connectées à Internet et des systèmes isolés.

Certains des outils de malware personnalisés attribués à GoldenJackal incluent :

• GoldenDealer : Conçu pour compromettre les systèmes connectés à Internet et transférer des charges utiles malveillantes vers des machines isolées via des clés USB infectées.
• GoldenHowl : une porte dérobée flexible qui permet aux attaquants de voler des fichiers, de créer des tâches et d'établir des communications sécurisées avec des serveurs externes.
• GoldenRobo : Un outil de collecte de données utilisé pour exfiltrer les informations volées.

Un arsenal en pleine croissance

Plus récemment, GoldenJackal a été observé en train d'utiliser un tout nouvel ensemble de malwares, principalement écrits dans le langage de programmation Go, visant des cibles spécifiques en Europe. Ces outils sont conçus pour effectuer la plupart des mêmes tâches que leurs homologues précédents, comme copier des fichiers à partir de clés USB et renvoyer des données aux attaquants, mais avec une efficacité et une sophistication accrues.

Le malware du groupe est conçu pour fonctionner par étapes. Lorsqu'une clé USB infectée atteint un système isolé, le malware collecte silencieusement des informations et les stocke sur la clé USB. Lorsque cette même clé est connectée à un appareil connecté à Internet, les données sont automatiquement transmises à un serveur contrôlé par l'attaquant.

Comment se protéger contre les attaques de GoldenJackal

La défense contre les acteurs de menaces avancées comme GoldenJackal nécessite une approche à plusieurs niveaux, en particulier pour les organisations qui gèrent des informations sensibles sur des systèmes isolés. Voici quelques bonnes pratiques :

• Limitation de l'utilisation des périphériques USB : seuls les périphériques USB autorisés doivent être utilisés dans les environnements sensibles et ils doivent être régulièrement analysés pour détecter tout signe de compromission.
• Segmentation du réseau : les organisations doivent garantir une séparation stricte entre les systèmes connectés à Internet et ceux qui traitent des données sensibles, ce qui rend plus difficile pour les logiciels malveillants de combler l'écart.
• Surveillance régulière : des inspections de routine du trafic USB et des journaux système peuvent aider à détecter une activité suspecte avant qu'elle ne s'aggrave.

GoldenJackal reste un adversaire furtif et dangereux, qui peaufine en permanence ses tactiques. En comprenant le fonctionnement du groupe et en prenant des mesures proactives pour sécuriser les réseaux isolés, les organisations peuvent réduire le risque de telles attaques.