L’acteur malveillant connu sous le nom de Patchwork a \u00e9t\u00e9 li\u00e9 \u00e0 une cyberattaque ciblant des entit\u00e9s li\u00e9es au Bhoutan pour fournir le framework Brute Ratel C4 et une version mise \u00e0 jour d’une porte d\u00e9rob\u00e9e appel\u00e9e PGoShell.<\/p>\n
Ce d\u00e9veloppement marque la premi\u00e8re fois que l’adversaire a \u00e9t\u00e9 observ\u00e9 \u00e0 l’aide du logiciel de red teaming, le Knownsec 404 Team dit<\/a> dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n Le groupe d’activit\u00e9s, \u00e9galement appel\u00e9 APT-C-09, Dropping Elephant, Operation Hangover, Viceroy Tiger et Zinc Emerson, est un acteur parrain\u00e9 par l’\u00c9tat, probablement d’origine indienne.<\/p>\n Connu pour mener des attaques de spear-phishing et de watering hole contre la Chine et le Pakistan, l’\u00e9quipe de pirates informatiques serait active depuis au moins 2009, selon donn\u00e9es partag\u00e9es<\/a> par la soci\u00e9t\u00e9 chinoise de cybers\u00e9curit\u00e9 QiAnXin.<\/p>\n En juillet dernier, Knownsec 404 a r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une campagne d’espionnage visant des universit\u00e9s et des organismes de recherche en Chine qui utilisait un implant bas\u00e9 sur .NET nomm\u00e9 EyeShell pour r\u00e9cup\u00e9rer et ex\u00e9cuter des commandes \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un attaquant, ex\u00e9cuter des charges utiles suppl\u00e9mentaires et capturer des captures d’\u00e9cran.<\/p>\n Plus t\u00f4t en f\u00e9vrier, il a \u00e9t\u00e9 d\u00e9couvert que l’acteur malveillant avait utilis\u00e9 des leurres \u00e0 th\u00e8me romantique pour pi\u00e9ger des victimes au Pakistan et en Inde et compromettre leurs appareils Android avec un cheval de Troie d’acc\u00e8s \u00e0 distance baptis\u00e9 VajraSpy.<\/p>\n Le point de d\u00e9part de la derni\u00e8re cha\u00eene d’attaque observ\u00e9e est un fichier de raccourci Windows (LNK) con\u00e7u pour t\u00e9l\u00e9charger un document PDF leurre \u00e0 partir d’un domaine distant se faisant passer pour le domaine soutenu par la CCNUCC. Fonds d’adaptation<\/a>tout en d\u00e9ployant furtivement Brute Ratel C4 et PGoShell r\u00e9cup\u00e9r\u00e9s \u00e0 partir d’un domaine diff\u00e9rent (“beijingtv[.]”org”).<\/p>\n \u00ab PGoShell est d\u00e9velopp\u00e9 dans le langage de programmation Go ; dans l’ensemble, il offre un riche ensemble de fonctionnalit\u00e9s, notamment des capacit\u00e9s de shell \u00e0 distance, de capture d’\u00e9cran et de t\u00e9l\u00e9chargement et d’ex\u00e9cution de charges utiles \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n Ce d\u00e9veloppement intervient quelques mois apr\u00e8s qu’APT-K-47, un autre acteur de menace partageant des chevauchements tactiques avec SideWinder, Patchwork, Confucius et Bitter, ait \u00e9t\u00e9 attribu\u00e9 \u00e0 des attaques impliquant l’utilisation d’ORPCBackdoor ainsi que de logiciels malveillants auparavant non document\u00e9s comme WalkerShell, DemoTrySpy et NixBackdoor pour collecter des donn\u00e9es et ex\u00e9cuter du shellcode.<\/p>\n Les attaques sont \u00e9galement remarquables pour le d\u00e9ploiement d’un cadre de commande et de contr\u00f4le (C2) open source connu sous le nom de Nimbo-C2<\/a>qui \u00ab permet une large gamme de fonctionnalit\u00e9s de contr\u00f4le \u00e0 distance \u00bb, Knownsec 404 dit<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Des-hackers-de-Patchwork-ciblent-le-Bhoutan-avec-un-outil.png\")
<\/a><\/center><\/section>\n