L’acteur mena\u00e7ant bas\u00e9 en Chine connu sous le nom de Panda Mustang<\/strong> est soup\u00e7onn\u00e9 d’avoir cibl\u00e9 le minist\u00e8re de la D\u00e9fense et des Affaires \u00e9trang\u00e8res du Myanmar dans le cadre de deux campagnes visant \u00e0 d\u00e9ployer des portes d\u00e9rob\u00e9es et des chevaux de Troie d’acc\u00e8s \u00e0 distance.<\/p>\n Les conclusions proviennent du CSIRT-CTI, qui indique que les activit\u00e9s ont eu lieu en novembre 2023 et janvier 2024 apr\u00e8s que des artefacts li\u00e9s aux attaques ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s sur la plateforme VirusTotal.<\/p>\n “Les plus importants de ces TTP sont l’utilisation de logiciels l\u00e9gitimes, notamment un binaire d\u00e9velopp\u00e9 par la soci\u00e9t\u00e9 d’ing\u00e9nierie Bernecker & Rainer (B&R) et un composant de l’assistant de mise \u00e0 niveau de Windows 10 pour charger des biblioth\u00e8ques de liens dynamiques (DLL) malveillantes”, CSIRT-CTI dit<\/a>.<\/p>\n Mustang Panda, actif depuis au moins 2012, est \u00e9galement reconnu par la communaut\u00e9 de la cybers\u00e9curit\u00e9 sous les noms BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus et TEMP.Hex.<\/p>\n Au cours des derniers mois, l\u2019adversaire a \u00e9t\u00e9 attribu\u00e9 \u00e0 des attaques visant un gouvernement anonyme d\u2019Asie du Sud-Est ainsi que les Philippines afin de fournir des portes d\u00e9rob\u00e9es capables de r\u00e9colter des informations sensibles.<\/p>\n La s\u00e9quence d’infection de novembre 2023 commence par un e-mail de phishing contenant une pi\u00e8ce jointe d’archive ZIP pi\u00e9g\u00e9e contenant un ex\u00e9cutable l\u00e9gitime (\u00ab Analyse de la troisi\u00e8me r\u00e9union de NDSC.exe \u00bb) initialement sign\u00e9 par B&R Industrial Automation GmbH et un fichier DLL (\u00ab BrMod104 \u00bb). .dll”).<\/p>\n L’attaque profite du fait que le binaire est susceptible d’\u00eatre d\u00e9tourn\u00e9 par l’ordre de recherche des DLL pour charger lat\u00e9ralement la DLL malveillante<\/a> puis \u00e9tablissez la persistance et le contact avec un serveur de commande et de contr\u00f4le (C2) et r\u00e9cup\u00e9rez une porte d\u00e9rob\u00e9e connue appel\u00e9e PUBLOAD, qui, \u00e0 son tour, agit comme un chargeur personnalis\u00e9 pour supprimer l’implant PlugX.<\/p>\n “Les acteurs de la menace tentent de dissimuler [C2] trafic \u00e0 mesure que Microsoft met \u00e0 jour le trafic en ajoutant les en-t\u00eates \u00ab Host : www.asia.microsoft.com \u00bb et \u00ab User-Agent : Windows-Update-Agent \u00bb \u00bb, a not\u00e9 le CSIRT-CTI, refl\u00e9tant une campagne de mai 2023. divulgu\u00e9<\/a> par Lab52.<\/p>\n D’un autre c\u00f4t\u00e9, la deuxi\u00e8me campagne observ\u00e9e plus t\u00f4t ce mois-ci utilise une image de disque optique (“ASEAN Notes.iso”) contenant des raccourcis LNK pour d\u00e9clencher un processus en plusieurs \u00e9tapes qui utilise un autre chargeur sur mesure appel\u00e9 TONESHELL pour probablement d\u00e9ployer PlugX \u00e0 partir d’un syst\u00e8me actuel. serveur C2 inaccessible.<\/p>\n Il convient de noter qu’une cha\u00eene d’attaque similaire attribu\u00e9e \u00e0 Mustang Panda avait d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9nich\u00e9 par EclecticIQ<\/a> en f\u00e9vrier 2023 lors d’intrusions visant des organisations gouvernementales et du secteur public en Asie et en Europe.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Des-pirates-informatiques-lies-a-la-Chine-ciblent-les-principaux.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n