Un acteur de menace affilié à la Chine connue pour ses cyberattaques en Asie a été observé exploitant un défaut de sécurité dans les logiciels de sécurité de l’ESET pour fournir un nom de logiciel malveillant sans papiers auparavant sans papiers Tcesb.
“Auparavant invisible dans les attaques de todycat, [TCESB] est conçu pour exécuter furtivement les charges utiles dans le contournement des outils de protection et de surveillance installés sur l’appareil, “Kaspersky dit Dans une analyse publiée cette semaine.
Toddycat est le nom donné à un cluster d’activités de menace qui a ciblé plusieurs entités en Asie, avec des attaques datant jusqu’à au moins décembre 2020.
L’année dernière, le fournisseur russe de cybersécurité a détaillé l’utilisation par le groupe de piratage de divers outils pour maintenir un accès persistant à des environnements compromis et récolter les données sur une “échelle industrielle” des organisations situées dans la région Asie-Pacifique.
Kaspersky a déclaré que son enquête sur les incidents liés à Todycat au début de 2024 avait mis au jour un fichier DLL suspect (“version.dll”) dans le répertoire temporaire sur plusieurs appareils. La DLL 64 bits, TCESB, s’est avérée être lancée via une technique appelée DLL Rechercher la commande de détournement pour prendre le contrôle du flux d’exécution.
Cela, à son tour, aurait été accompli en profitant d’un défaut dans le Scanner de ligne de commande esetqui charge insécurité une DLL nommée “version.dll” en vérifiant d’abord le fichier dans le répertoire actuel, puis en le vérifiant dans les répertoires système.
Il vaut la peine de souligner à ce stade “version.dll“est un légitime Bibliothèque de vérification des versions et d’installation de fichiers De Microsoft qui réside dans le “C: Windows System32 ” ou “C: Windows Syswow64 ” répertoires.
Une conséquence de l’exploitation de cette échappatoire est que les attaquants pourraient exécuter leur version malveillante de “version.dll” par opposition à son homologue légitime. La vulnérabilité, suivie comme CVE-2024-11859 (Score CVSS: 6,8), était fixé par ESET fin janvier 2025 à la suite de la divulgation responsable.
“La vulnérabilité a potentiellement permis à un attaquant avec des privilèges administrateurs de charger une bibliothèque dynamique malveillante et d’exécuter son code”, ESET dit Dans un avis publié la semaine dernière. “Cette technique n’a cependant pas augmenté les privilèges – l’attaquant aurait déjà eu besoin d’avoir des privilèges administrateurs pour effectuer cette attaque.”
Dans une déclaration partagée avec le Hacker News, la société slovaque de cybersécurité a déclaré avoir publié des créations fixes de ses produits de sécurité de consommation, d’entreprise et de serveur pour le système d’exploitation Windows pour résoudre la vulnérabilité.
TCESB, pour sa part, est une version modifiée d’un outil open source appelé EDRSandBlast qui comprend des fonctionnalités pour modifier les structures du noyau du système d’opération pour désactiver les routines de notification (aka rappels), qui sont conçus pour permettre aux conducteurs d’être informés d’événements spécifiques, tels que la création de processus ou la définition d’une clé de registre.
Pour y parvenir, TCESB exploite une autre technique connue appelée apporter votre propre pilote vulnérable (BYOVD) pour installer un pilote vulnérable, un pilote Dell dbuLdRv2.Sys, dans le système via l’interface du gestionnaire de périphériques. Le conducteur dbutildrv2.sys est sensible à un défaut d’escalade de privilège connu suivi comme CVE-2021-36276.
Ce n’est pas les premiers conducteurs Dell ont été maltraités à des fins malveillantes. En 2022, une vulnérabilité d’escalade similaire (CVE-2021-21551) Dans un autre conducteur Dell, DButil_2_3.Sys, a également été exploité dans le cadre des attaques de BYOVD par le groupe de Lazare lié à la Corée du Nord pour désactiver les mécanismes de sécurité.
“Une fois le pilote vulnérable installé dans le système, TCESB exécute une boucle dans laquelle il vérifie toutes les deux secondes pour la présence d’un fichier de charge utile avec un nom spécifique dans le répertoire actuel – la charge utile peut ne pas être présente au moment du lancement de l’outil”, a déclaré le chercheur de Kaspersky, Andrey Gunkin.
Bien que les artefacts en charge utile soient eux-mêmes indisponibles, une analyse plus approfondie a déterminé qu’elles sont chiffrées à l’aide d’AES-128 et qu’ils sont décodés et exécutés dès qu’ils apparaissent dans le chemin spécifié.
“Pour détecter l’activité de ces outils, il est recommandé de surveiller les systèmes d’événements d’installation impliquant des conducteurs avec des vulnérabilités connues”, a déclaré Kaspersky. “Il vaut également la peine de surveiller les événements associés au chargement des symboles de débogage du noyau Windows sur les appareils où le débogage du noyau du système d’exploitation n’est pas attendu.”