L’Ukraine ciblée par la désinformation russe et une attaque de collecte de données

Des chercheurs en sécurité ont découvert une nouvelle « opération d'influence » ciblant l'Ukraine qui utilise des courriers indésirables pour diffuser de la désinformation liée à la guerre. L’activité, connue sous le nom d’Opération Texonto, a été liée à des acteurs menaçants alignés sur la Russie.

En octobre 2023, une campagne de spear phishing ciblant une entreprise de défense ukrainienne et une agence de l’Union européenne visait à récupérer les identifiants de connexion Microsoft à l’aide de fausses pages de destination, présentant des similitudes avec l’acteur menaçant COLDRIVER.

L’opération Texonto s’est déroulée en deux vagues en novembre et décembre 2023, utilisant des messages électroniques avec des pièces jointes au format PDF discutant des interruptions de chauffage, des pénuries de médicaments et des pénuries alimentaires. La vague de novembre s'est concentrée sur des centaines de destinataires en Ukraine, notamment des entités gouvernementales, des sociétés énergétiques et des particuliers.

Désinformation et suggestions sombres des hackers russes

Les e-mails ont été envoyés à partir d'un domaine prétendant être le ministère de la Politique agraire et de l'alimentation de l'Ukraine, avec un contenu sur les pénuries de médicaments utilisant le logo du ministère de la Santé de l'Ukraine, indiquant une surveillance potentielle de la part des attaquants.

La deuxième vague, qui a débuté le 25 décembre 2023, a élargi sa cible au-delà de l’Ukraine pour inclure les ukrainiens d’autres pays européens. Tout en souhaitant aux destinataires de joyeuses fêtes de fin d'année, ces messages ont pris une tournure plus sombre, suggérant aux destinataires de s'amputer d'un bras ou d'une jambe pour éviter un déploiement militaire, avec une déclaration inquiétante encourageant une « vie heureuse » après un bref moment de douleur.

Curieusement, le même serveur de messagerie a ensuite été réutilisé pour propager une arnaque pharmaceutique. On soupçonne que les acteurs de la menace ont choisi de monétiser leur infrastructure pour obtenir un gain financier après avoir réalisé que leurs domaines avaient été détectés par les défenseurs.