L’acteur de la menace li\u00e9e \u00e0 la Chine connu sous le nom de Panda \u00e9vasif<\/strong> a compromis un fournisseur d’acc\u00e8s Internet (FAI) anonyme pour diffuser des mises \u00e0 jour de logiciels malveillants vers des entreprises cibl\u00e9es \u00e0 la mi-2023, mettant en \u00e9vidence un nouveau niveau de sophistication associ\u00e9 au groupe.<\/p>\n Evasive Panda, \u00e9galement connu sous les noms de Bronze Highland, Daggerfly et StormBamboo, est un groupe de cyberespionnage actif depuis au moins 2012, exploitant des portes d\u00e9rob\u00e9es telles que MgBot (alias POCOSTICK) et Nightdoor (alias NetMM et Suzafk) pour r\u00e9colter des informations sensibles.<\/p>\n Plus r\u00e9cemment, l’acteur de la menace a \u00e9t\u00e9 formellement attribu\u00e9 \u00e0 l’utilisation d’une souche de malware macOS appel\u00e9e MACMA, qui a \u00e9t\u00e9 observ\u00e9e dans la nature d\u00e8s 2021.<\/p>\n \u00ab StormBamboo est un acteur de menace hautement qualifi\u00e9 et agressif qui compromet des tiers (dans ce cas, un FAI) pour violer les cibles vis\u00e9es \u00bb, a d\u00e9clar\u00e9 Volexity. dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n \u00ab La vari\u00e9t\u00e9 des programmes malveillants employ\u00e9s dans diverses campagnes par cet acteur de menace indique que des efforts importants sont investis, avec des charges utiles activement prises en charge non seulement pour macOS et Windows, mais \u00e9galement pour les appareils r\u00e9seau. \u00bb<\/p>\n Les rapports publics d’ESET et de Symantec au cours des deux derni\u00e8res ann\u00e9es ont document\u00e9 l’utilisation de MgBot par Evasive Panda et ses ant\u00e9c\u00e9dents d’orchestration d’attaques de points d’eau et de cha\u00eene d’approvisionnement ciblant les utilisateurs tib\u00e9tains.<\/p>\n Il a \u00e9galement \u00e9t\u00e9 d\u00e9couvert qu’il ciblait une organisation non gouvernementale (ONG) internationale en Chine continentale avec MgBot livr\u00e9 via des canaux de mise \u00e0 jour d’applications l\u00e9gitimes comme Tencent QQ.<\/p>\n Alors qu’il a \u00e9t\u00e9 sp\u00e9cul\u00e9 que les mises \u00e0 jour trojanis\u00e9es \u00e9taient soit le r\u00e9sultat d’une compromission de la cha\u00eene d’approvisionnement des serveurs de mise \u00e0 jour de Tencent QQ, soit un cas d’attaque de type “adversary-in-the-middle” (AitM), l’analyse de Volexity confirme qu’il s’agit de cette derni\u00e8re r\u00e9sultant d’une attaque d’empoisonnement DNS au niveau du FAI.<\/p>\n Plus pr\u00e9cis\u00e9ment, l’acteur de la menace modifierait les r\u00e9ponses aux requ\u00eates DNS pour des domaines sp\u00e9cifiques li\u00e9s \u00e0 des m\u00e9canismes de mise \u00e0 jour automatique de logiciels, en s’attaquant aux logiciels qui utilisaient des m\u00e9canismes de mise \u00e0 jour non s\u00e9curis\u00e9s, tels que HTTP, ou qui n’appliquaient pas de contr\u00f4les d’int\u00e9grit\u00e9 ad\u00e9quats aux installateurs.<\/p>\n \u00ab Il a \u00e9t\u00e9 d\u00e9couvert que StormBamboo empoisonnait les requ\u00eates DNS pour d\u00e9ployer des logiciels malveillants via un m\u00e9canisme de mise \u00e0 jour automatique HTTP et empoisonnait les r\u00e9ponses pour les noms d’h\u00f4tes l\u00e9gitimes qui \u00e9taient utilis\u00e9s comme serveurs de commande et de contr\u00f4le (C2) de deuxi\u00e8me \u00e9tape \u00bb, ont d\u00e9clar\u00e9 les chercheurs Ankur Saini, Paul Rascagneres, Steven Adair et Thomas Lancaster.<\/p>\n Les cha\u00eenes d’attaque sont assez simples dans la mesure o\u00f9 les m\u00e9canismes de mise \u00e0 jour non s\u00e9curis\u00e9s sont utilis\u00e9s pour diffuser soit MgBot, soit MACMA en fonction du syst\u00e8me d’exploitation utilis\u00e9. Volexity a d\u00e9clar\u00e9 avoir inform\u00e9 le FAI concern\u00e9 de rem\u00e9dier \u00e0 l’attaque par empoisonnement DNS.<\/p>\n Un autre exemple impliquait le d\u00e9ploiement d’une extension Google Chrome sur l’appareil macOS de la victime en modifiant le fichier Secure Preferences. Le module compl\u00e9mentaire du navigateur pr\u00e9tend \u00eatre un outil qui charge une page en mode de compatibilit\u00e9 avec Internet Explorer, mais son objectif principal est d’exfiltrer les cookies du navigateur vers un compte Google Drive contr\u00f4l\u00e9 par l’adversaire.<\/p>\n \u00ab L’attaquant peut intercepter les requ\u00eates DNS et les empoisonner avec des adresses IP malveillantes, puis utiliser cette technique pour abuser des m\u00e9canismes de mise \u00e0 jour automatique qui utilisent HTTP plut\u00f4t que HTTPS \u00bb, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-pirates-informatiques-lies-a-la-Chine-compromettent-un-FAI.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n