L’acteur mena\u00e7ant li\u00e9 \u00e0 la Chine, connu sous le nom de Mustang Panda, a cibl\u00e9 divers pays asiatiques en utilisant une variante de la porte d\u00e9rob\u00e9e PlugX (alias Korplug) baptis\u00e9e DOPLUGS.<\/p>\n
“Le malware PlugX personnalis\u00e9 est diff\u00e9rent du type g\u00e9n\u00e9ral de malware PlugX qui contient un module de commande de porte d\u00e9rob\u00e9e complet, et le premier n’est utilis\u00e9 que pour t\u00e9l\u00e9charger le second”, ont d\u00e9clar\u00e9 Sunny Lu et Pierre Lee, chercheurs de Trend Micro. dit<\/a> dans une nouvelle r\u00e9daction technique.<\/p>\n Les cibles des DOPLUGS se situent principalement \u00e0 Taiwan et au Vietnam, et dans une moindre mesure \u00e0 Hong Kong, en Inde, au Japon, en Malaisie, en Mongolie et m\u00eame en Chine.<\/p>\n PlugX est un outil de base de Mustang Panda, qui est \u00e9galement suivi sous les noms BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta, Red Lich, Stately Taurus, TA416 et TEMP.Hex. On sait qu\u2019il est actif depuis au moins 2012, bien qu\u2019il ait \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en 2017.<\/p>\n Le m\u00e9tier de l’acteur malveillant consiste \u00e0 mener des campagnes de spear phishing bien con\u00e7ues, con\u00e7ues pour d\u00e9ployer des logiciels malveillants personnalis\u00e9s. Il a \u00e9galement fait ses preuves dans le d\u00e9ploiement de ses propres variantes PlugX personnalis\u00e9es telles que RougeDelta<\/a>Thor, Hodur et DOPLUGS (distribu\u00e9s via une campagne nomm\u00e9e SmugX) depuis 2018.<\/p>\n Les cha\u00eenes de compromission exploitent un ensemble de tactiques distinctes, utilisant des messages de phishing comme canal pour fournir une charge utile de premi\u00e8re \u00e9tape qui, tout en affichant un document leurre au destinataire, d\u00e9compresse secr\u00e8tement un ex\u00e9cutable l\u00e9gitime et sign\u00e9 qui est vuln\u00e9rable au chargement lat\u00e9ral de DLL afin de chargez lat\u00e9ralement une biblioth\u00e8que de liens dynamiques (DLL), qui, \u00e0 son tour, d\u00e9chiffre et ex\u00e9cute PlugX.<\/p>\n Le malware PlugX r\u00e9cup\u00e8re ensuite le cheval de Troie d’acc\u00e8s \u00e0 distance (RAT) Poison Ivy ou Cobalt Strike Beacon pour \u00e9tablir une connexion avec un serveur contr\u00f4l\u00e9 par Mustang Panda.<\/p>\n En d\u00e9cembre 2023, Lab52 a d\u00e9couvert une campagne Mustang Panda ciblant les entit\u00e9s politiques, diplomatiques et gouvernementales ta\u00efwanaises avec DOPLUGS, mais avec une diff\u00e9rence notable.<\/p>\n “La DLL malveillante est \u00e9crite dans le langage de programmation Nim”, Lab52 dit<\/a>. “Cette nouvelle variante utilise sa propre impl\u00e9mentation de l’algorithme RC4 pour d\u00e9crypter PlugX, contrairement aux versions pr\u00e9c\u00e9dentes qui utilisaient la biblioth\u00e8que Windows Cryptsp.dll.”<\/p>\n DOPLUGS, document\u00e9 pour la premi\u00e8re fois par Secureworks en septembre 2022, est un t\u00e9l\u00e9chargeur dot\u00e9 de quatre commandes de porte d\u00e9rob\u00e9e, dont l’une est orchestr\u00e9e pour t\u00e9l\u00e9charger le type g\u00e9n\u00e9ral de malware PlugX.<\/p>\n Trend Micro a d\u00e9clar\u00e9 avoir \u00e9galement identifi\u00e9 des \u00e9chantillons DOPLUGS int\u00e9gr\u00e9s \u00e0 un module connu sous le nom de Tuer quelqu’un<\/a>un plugin responsable de la distribution de logiciels malveillants, de la collecte d’informations et du vol de documents via des cl\u00e9s USB.<\/p>\n Cette variante est \u00e9quip\u00e9e d’un composant de lancement suppl\u00e9mentaire qui ex\u00e9cute l’ex\u00e9cutable l\u00e9gitime pour effectuer le chargement lat\u00e9ral des DLL, en plus de prendre en charge la fonctionnalit\u00e9 permettant d’ex\u00e9cuter des commandes et de t\u00e9l\u00e9charger le logiciel malveillant de l’\u00e9tape suivante \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n Il convient de noter qu’une variante personnalis\u00e9e de PlugX, comprenant le module KillSomeOne con\u00e7u pour la diffusion via USB, a \u00e9t\u00e9 d\u00e9couvert<\/a> d\u00e8s janvier 2020 par Avira dans le cadre d\u2019attaques dirig\u00e9es contre Hong Kong et le Vietnam.<\/p>\n “Cela montre qu’Earth Preta affine ses outils depuis un certain temps d\u00e9j\u00e0, en ajoutant constamment de nouvelles fonctionnalit\u00e9s et caract\u00e9ristiques”, ont d\u00e9clar\u00e9 les chercheurs. “Le groupe reste tr\u00e8s actif, notamment en Europe et en Asie.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Mustang-Panda-cible-lAsie-avec-la-variante-avancee-PlugX-DOPLUGS.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n