Un acteur pr\u00e9sum\u00e9 de cyberespionnage li\u00e9 \u00e0 la Chine a \u00e9t\u00e9 attribu\u00e9 \u00e0 une attaque prolong\u00e9e contre une organisation anonyme situ\u00e9e en Asie de l’Est pendant une p\u00e9riode d’environ trois ans, l’adversaire ayant \u00e9tabli sa persistance en utilisant les anciens appareils F5 BIG-IP et en les utilisant comme syst\u00e8me interne. commandement et contr\u00f4le (C&C) \u00e0 des fins d\u2019\u00e9vasion de la d\u00e9fense.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sygnia, qui a r\u00e9pondu \u00e0 l’intrusion fin 2023, suit l’activit\u00e9 sous le nom Fourmi de velours<\/strong>le caract\u00e9risant comme poss\u00e9dant de solides capacit\u00e9s pour pivoter rapidement et adapter ses tactiques aux efforts de contre-rem\u00e9diation.<\/p>\n “Velvet Ant est un acteur mena\u00e7ant sophistiqu\u00e9 et innovant”, affirme la soci\u00e9t\u00e9 isra\u00e9lienne dit<\/a> dans un rapport technique partag\u00e9 avec The Hacker News. “Ils ont collect\u00e9 des informations sensibles sur une longue p\u00e9riode, en se concentrant sur les informations client et financi\u00e8res.”<\/p>\n Les cha\u00eenes d’attaque impliquent l’utilisation d’une porte d\u00e9rob\u00e9e connue appel\u00e9e PlugX (alias Korplug), un cheval de Troie modulaire d’acc\u00e8s \u00e0 distance (RAT) qui a \u00e9t\u00e9 largement utilis\u00e9<\/a> par op\u00e9rateurs d’espionnage<\/a> avec des liens avec les int\u00e9r\u00eats chinois. PlugX est connu pour s’appuyer fortement sur une technique appel\u00e9e Chargement lat\u00e9ral des DLL<\/a> pour infiltrer les appareils.<\/p>\n Sygnia a d\u00e9clar\u00e9 avoir \u00e9galement identifi\u00e9 des tentatives de la part de l’acteur malveillant visant \u00e0 d\u00e9sactiver le logiciel de s\u00e9curit\u00e9 des points finaux avant d’installer PlugX, avec des outils open source comme Impacket utilis\u00e9s pour le mouvement lat\u00e9ral.<\/p>\n Une variante retravaill\u00e9e de PlugX qui utilisait un serveur de fichiers interne pour le C&C a \u00e9galement \u00e9t\u00e9 identifi\u00e9e dans le cadre des efforts de r\u00e9ponse aux incidents et de rem\u00e9diation, permettant ainsi au trafic malveillant de se fondre dans l’activit\u00e9 r\u00e9seau l\u00e9gitime.<\/p>\n “Cela signifie que l’acteur malveillant a d\u00e9ploy\u00e9 deux versions de PlugX au sein du r\u00e9seau”, a not\u00e9 la soci\u00e9t\u00e9. “La premi\u00e8re version, configur\u00e9e avec un serveur C&C externe, a \u00e9t\u00e9 install\u00e9e sur des points finaux avec acc\u00e8s direct \u00e0 Internet, facilitant l’exfiltration d’informations sensibles. La deuxi\u00e8me version n’avait pas de configuration C&C et a \u00e9t\u00e9 d\u00e9ploy\u00e9e exclusivement sur des serveurs existants.”<\/p>\n En particulier, il a \u00e9t\u00e9 constat\u00e9 que la deuxi\u00e8me variante avait abus\u00e9 des appareils F5 BIG-IP obsol\u00e8tes comme canal secret pour communiquer avec le serveur C&C externe en \u00e9mettant des commandes via un tunnel SSH invers\u00e9, soulignant une fois de plus \u00e0 quel point les appareils Edge compromettants peuvent permettre les acteurs mena\u00e7ants de gagner en persistance pendant de longues p\u00e9riodes.<\/p>\n “Il suffit d’une seule chose pour qu’un incident d’exploitation massive se produise : un service Edge vuln\u00e9rable, c’est-\u00e0-dire un logiciel accessible depuis Internet”, explique WithSecure. dit<\/a> dans une analyse r\u00e9cente.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Des-pirates-informatiques-lies-a-la-Chine-infiltrent-une-entreprise.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n