Le groupe de menaces persistantes avanc\u00e9es (APT) li\u00e9 \u00e0 la Chine, nomm\u00e9 APT41, est soup\u00e7onn\u00e9 d’utiliser une \u00ab version avanc\u00e9e et am\u00e9lior\u00e9e \u00bb d’un malware connu appel\u00e9 StealthVector pour diffuser une porte d\u00e9rob\u00e9e jusqu’alors non document\u00e9e baptis\u00e9e MoonWalk.<\/p>\n
La nouvelle variante de StealthVector \u2013 \u00e9galement appel\u00e9e DUSTPAN \u2013 a \u00e9t\u00e9 baptis\u00e9e DodgeBox par Zscaler ThreatLabz, qui a d\u00e9couvert la souche du chargeur en avril 2024.<\/p>\n
\u00ab DodgeBox est un chargeur qui proc\u00e8de au chargement d’une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e MoonWalk \u00bb, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Yin Hong Chang et Sudeep Singh. dit<\/a>\u00ab MoonWalk partage de nombreuses techniques d’\u00e9vasion impl\u00e9ment\u00e9es dans DodgeBox et utilise Google Drive pour la communication de commande et de contr\u00f4le (C2). \u00bb<\/p>\n APT41 est le surnom attribu\u00e9 \u00e0 un acteur de menace prolifique parrain\u00e9 par l’\u00c9tat et affili\u00e9 \u00e0 la Chine, connu pour \u00eatre actif depuis au moins 2007. Il est \u00e9galement suivi par la communaut\u00e9 plus large de la cybers\u00e9curit\u00e9 sous les noms d’Axiom, Blackfly, Brass Typhoon (anciennement Barium), Bronze Atlas, Earth Baku, HOODOO, Red Kelpie, TA415, Wicked Panda et Winnti.<\/p>\n En septembre 2020, le minist\u00e8re am\u00e9ricain de la Justice (DoJ) a annonc\u00e9 l’inculpation de plusieurs acteurs malveillants associ\u00e9s \u00e0 l’\u00e9quipe de pirates informatiques pour avoir orchestr\u00e9 des campagnes d’intrusion ciblant plus de 100 entreprises \u00e0 travers le monde.<\/p>\n \u00ab Les intrusions […] \u00ab Ils ont facilit\u00e9 le vol de code source, de certificats de signature de code logiciel, de donn\u00e9es de comptes clients et d’informations commerciales pr\u00e9cieuses \u00bb, a d\u00e9clar\u00e9 le minist\u00e8re de la Justice \u00e0 l’\u00e9poque, ajoutant qu’ils ont \u00e9galement permis \u00ab d’autres stratag\u00e8mes criminels, notamment des ransomwares et des stratag\u00e8mes de \u00ab crypto-jacking \u00bb \u00bb.<\/p>\n Au cours des derni\u00e8res ann\u00e9es, le groupe de menace a \u00e9t\u00e9 li\u00e9 \u00e0 des violations des r\u00e9seaux du gouvernement des \u00c9tats am\u00e9ricains entre mai 2021 et f\u00e9vrier 2022, en plus d’attaques ciblant des organisations de m\u00e9dias ta\u00efwanaises \u00e0 l’aide d’un outil de red teaming open source connu sous le nom de Google Command and Control (GC2).<\/p>\n L’utilisation de StealthVector par APT41 a \u00e9t\u00e9 premier document\u00e9<\/a> par Trend Micro en ao\u00fbt 2021, le d\u00e9crivant comme un chargeur de shellcode \u00e9crit en C\/C++ utilis\u00e9 pour fournir Cobalt Strike Beacon et un implant de shellcode nomm\u00e9 ScrambleCross (alias SideWalk).<\/p>\n DodgeBox est consid\u00e9r\u00e9 comme une version am\u00e9lior\u00e9e de StealthVector, tout en int\u00e9grant diverses techniques telles que l’usurpation de la pile d’appels, le chargement lat\u00e9ral de DLL et le creusement de DLL pour \u00e9chapper \u00e0 la d\u00e9tection. La m\u00e9thode exacte par laquelle le malware est distribu\u00e9 est actuellement inconnue.<\/p>\n \u00ab APT41 utilise le chargement lat\u00e9ral de DLL comme moyen d’ex\u00e9cuter DodgeBox \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Ils utilisent un ex\u00e9cutable l\u00e9gitime (taskhost.exe), sign\u00e9 par Sandboxie, pour charger lat\u00e9ralement une DLL malveillante (sbiedll.dll). \u00bb<\/p>\n La DLL malveillante (c’est-\u00e0-dire DodgeBox) est un chargeur DLL \u00e9crit en C qui agit comme un conduit pour d\u00e9crypter et lancer une charge utile de deuxi\u00e8me \u00e9tape, la porte d\u00e9rob\u00e9e MoonWalk.<\/p>\n L’attribution de DodgeBox \u00e0 APT41 d\u00e9coule des similitudes entre DodgeBox et StealthVector ; de l’utilisation du chargement lat\u00e9ral de DLL, une technique largement utilis\u00e9e par les groupes li\u00e9s \u00e0 la Chine pour diffuser des logiciels malveillants tels que PlugX ; et du fait que des \u00e9chantillons de DodgeBox ont \u00e9t\u00e9 soumis \u00e0 VirusTotal depuis la Tha\u00eflande et Taiwan.<\/p>\n \u00abDodgeBox est un chargeur de malware nouvellement identifi\u00e9 qui utilise plusieurs techniques pour \u00e9chapper \u00e0 la d\u00e9tection statique et comportementale\u00bb, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n \u00ab Il offre diverses fonctionnalit\u00e9s, notamment le d\u00e9cryptage et le chargement de DLL int\u00e9gr\u00e9es, la r\u00e9alisation de v\u00e9rifications et de liaisons d’environnement, ainsi que l’ex\u00e9cution de proc\u00e9dures de nettoyage. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-groupe-chinois-APT41-met-a-niveau-son-arsenal-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n