L’acteur de menace connue sous le nom Lotus Panda a été observé ciblant les secteurs du gouvernement, de la fabrication, des télécommunications et des médias aux Philippines, au Vietnam, à Hong Kong et à Taïwan avec des versions mises à jour d’une porte dérobée connue appelée Sagerunex.
“Lotus Blossom utilise la porte dérobée de Sagerunex depuis au moins 2016 et utilise de plus en plus des coquilles de commande de persistance à long terme et développe de nouvelles variantes de la suite malware Sagerunex”, chercheur Cisco Talos Joey Chen dit Dans une analyse publiée la semaine dernière.
Lotus Panda, également connu sous le nom de Billbug, Bronze Elgin, Lotus Blossom, Spring Dragon et Thrip, est une équipe de piratage chinoise suspectée qui est active depuis au moins 2009. L’acteur de menace était Premier exposé par Symantec en juin 2018.
Fin 2022, Symantec, appartenant à Broadcom, a détaillé l’attaque de l’acteur de menace contre une autorité de certificat numérique ainsi que sur le gouvernement et les agences de défense situées dans différents pays d’Asie qui impliquaient l’utilisation de déambulations comme Hannotog et Sagerunex.
Le vecteur d’accès initial exact utilisé pour violer les entités dans le dernier ensemble d’intrusions n’est pas connu, bien qu’il ait des antécédents de rédaction des attaques de trou de lance et d’arrosage. La voie d’attaque non spécifiée sert de conduit à l’implant Sagerunex, qui est évaluée comme une évolution d’un malware plus ancien de billbug connu sous le nom d’Evora.
L’activité est remarquable pour l’utilisation de deux nouvelles variantes “bêta” des logiciels malveillants, qui exploitent des services légitimes comme Dropbox, X et Zimbra en tant que tunnels de commande et de contrôle (C2) pour échapper à la détection. Ils ont été soi-disant en raison de la présence de chaînes de débogage dans le code source.
La porte dérobée est conçue pour recueillir les informations de l’hôte cible, la crypter et exfiltrer les détails d’un serveur distant sous le contrôle de l’attaquant. Les versions Dropbox et X de Sagerunex auraient été utilisées entre 2018 et 2022, tandis que la version Zimbra aurait existé depuis 2019.
“La version Zimbra Webmail de Sagerunex est non seulement conçue pour collecter des informations sur la victime et l’envoyer dans la boîte aux lettres de Zimbra, mais aussi pour permettre à l’acteur d’utiliser le contenu de Zimbra Mail pour donner des ordres et contrôler la machine victime”, a déclaré Chen.
“S’il y a un contenu de commande de commande légitime dans la boîte aux lettres, la porte dérobée télécharge le contenu et extraire la commande, sinon la porte dérobée supprimera le contenu et attendra une commande légitime.”
Les résultats de l’exécution des commandes sont ensuite emballés sous la forme d’une archive RAR et joints à un projet de courrier électronique dans les dossiers du brouillon et des déchets de la boîte aux lettres.
Les attaques sont également déployées dans les autres outils tels qu’un voleur de biscuits pour récolter les informations d’identification du navigateur Chrome, un utilitaire proxy open source nommé Veninun programme pour ajuster les privilèges et les logiciels sur mesure pour comprimer et crypter les données capturées.
En outre, l’acteur de menace a été observé en exécutant des commandes telles que Net, TaskList, IPConfig et Netstat pour effectuer la reconnaissance de l’environnement cible, en plus d’effectuer des chèques pour déterminer l’accès à Internet.
“Si l’accès à Internet est restreint, l’acteur a deux stratégies: utiliser les paramètres de proxy de la cible pour établir une connexion ou utiliser l’outil de proxy Venom pour relier les machines isolées aux systèmes accessibles à Internet”, a noté Talos.