Une attaque du RA mondial des ransomwares en novembre 2024 ciblant une soci\u00e9t\u00e9 de logiciels et de services asiatiques anonymes impliquait l’utilisation d’un outil malveillant exclusivement utilis\u00e9 par les groupes de cyber-espionnage bas\u00e9s en Chine, soulevant la possibilit\u00e9 que l’acteur de menace puisse \u00eatre au clair de lune en tant que joueur de ransomware dans un individu capacit\u00e9.<\/p>\n
“Au cours de l’attaque fin 2024, l’attaquant a d\u00e9ploy\u00e9 un ensemble d’outils distinct qui avait d\u00e9j\u00e0 \u00e9t\u00e9 utilis\u00e9 par un acteur li\u00e9 \u00e0 la Chine dans des attaques d’espionnage classiques”, l’\u00e9quipe Symantec Threat Hunter, qui fait partie de Broadcom, dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n “Dans toutes les intrusions ant\u00e9rieures impliquant le ensemble d’outils, l’attaquant a sembl\u00e9 \u00eatre engag\u00e9 dans un espionnage classique, apparemment uniquement int\u00e9ress\u00e9 \u00e0 maintenir une pr\u00e9sence persistante sur les organisations cibl\u00e9es en installant des d\u00e9lais.”<\/p>\n Cela comprenait un compromis en juillet 2024 du minist\u00e8re des Affaires \u00e9trang\u00e8res d’un pays dans le sud-est de l’Europe qui impliquait l’utilisation de techniques classiques de chargement lat\u00e9ral pour d\u00e9ployer Plugx (aka korplug), un logiciel malveillant utilis\u00e9 \u00e0 plusieurs reprises par l’acteur de Mustang Panda (aka fixe et reddelta) .<\/p>\n Plus pr\u00e9cis\u00e9ment, les cha\u00eenes d’attaque impliquent l’utilisation d’un ex\u00e9cutable Toshiba l\u00e9gitime nomm\u00e9 “toshdpdb.exe” pour mettre \u00e0 c\u00f4t\u00e9 une DLL malveillante nomm\u00e9e “toshdpapi.dll”, qui, \u00e0 son tour, agit comme un conduit pour charger la charge de paie plugx crypt\u00e9e.<\/p>\n D’autres intrusions li\u00e9es au m\u00eame ensemble d’outils ont \u00e9t\u00e9 observ\u00e9es dans le cadre d’attaques ciblant deux entit\u00e9s gouvernementales diff\u00e9rentes dans le sud-est de l’Europe et de l’Asie du Sud-Est en ao\u00fbt 2024, un op\u00e9rateur de t\u00e9l\u00e9communications en septembre 2024 et un autre minist\u00e8re gouvernemental dans un autre pays d’Asie du Sud-Est en janvier 2025.<\/p>\n Cependant, Symantec a not\u00e9 qu’il a observ\u00e9 la variante Plugx d\u00e9ploy\u00e9e en novembre 2024 dans le cadre d’une campagne d’extorsion criminelle contre une soci\u00e9t\u00e9 de logiciels et de services de taille moyenne en Asie du Sud.<\/p>\n On ne sait pas exactement comment le r\u00e9seau de l’entreprise a \u00e9t\u00e9 compromis, bien que l’attaquant ait affirm\u00e9 l’avoir fait en exploitant un d\u00e9faut de s\u00e9curit\u00e9 connu dans le logiciel Pan-OS de Palo Alto Networks (CVE-2024-0012). L’attaque a culmin\u00e9 avec les machines crypt\u00e9es avec le ransomware du monde RA, mais pas avant que le binaire Toshiba ne soit utilis\u00e9 pour lancer le malware Plugx. <\/p>\n \u00c0 ce stade, il convient de noter que les analyses ant\u00e9rieures de Cisco Talos et Palo Alto Networks Unit 42 ont d\u00e9couvert Les chevauchements de la m\u00e9daillon<\/a> Entre RA World (anciennement appel\u00e9 RA Group) et un groupe de menaces chinois connu sous le nom de Bronze Starlight (AKA Storm-401 et Emperor Dragonfly) qui a une histoire d’utilisation des familles de ransomware de courte dur\u00e9e.<\/p>\n Bien que l’on ne sache pas pourquoi un acteur d’espionnage m\u00e8ne \u00e9galement une attaque \u00e0 motivation financi\u00e8re, Symantec a th\u00e9oris\u00e9 qu’un acteur seul est probablement \u00e0 l’effort et qu’il tentait de faire des gains rapides sur le c\u00f4t\u00e9. Cette \u00e9valuation correspond \u00e9galement \u00e0 l’analyse de Sygnia de la libellule empereur en octobre 2022, qu’elle a d\u00e9crit comme un \u00abacteur \u00e0 menace unique\u00bb.<\/p>\n Cette forme de clair de lune, bien que rarement observ\u00e9e dans l’\u00e9cosyst\u00e8me de piratage chinois, est beaucoup plus r\u00e9pandue parmi les acteurs de la menace d’Iran et de Cor\u00e9e du Nord.<\/p>\n “Une autre forme d’activit\u00e9 financi\u00e8re \u00e0 soutenir les objectifs de l’\u00c9tat est que les groupes dont la mission principale peut \u00eatre l’espionnage parrain\u00e9 par l’\u00c9tat est, tacitement ou explicitement, autoris\u00e9 \u00e0 mener des op\u00e9rations motiv\u00e9es financi\u00e8res \u00e0 compl\u00e9ter leurs revenus”, le Google Threat Intelligence Group (GTIG) dit<\/a> Dans un rapport publi\u00e9 cette semaine.<\/p>\n “Cela peut permettre \u00e0 un gouvernement de compenser les co\u00fbts directs qui seraient n\u00e9cessaires pour maintenir des groupes avec des capacit\u00e9s robustes.”<\/p>\n Le d\u00e9veloppement intervient alors que le groupe de piratage de l’\u00c9tat-nation chinois appel\u00e9 Salt Typhoon a \u00e9t\u00e9 li\u00e9 \u00e0 un ensemble de cyberattaques qui exploitent les d\u00e9fauts de s\u00e9curit\u00e9 connus dans les appareils de r\u00e9seau Cisco (CVE-2023-20198 et CVE-2023-20273) pour p\u00e9n\u00e9trer multiple multiple multiple et CVE-2023-20273) pour p\u00e9n\u00e9trer multiple multiple r\u00e9seaux.<\/p>\n La cyber-activit\u00e9 malveillante est \u00e9valu\u00e9e aurait distingu\u00e9 une filiale am\u00e9ricaine d’un important fournisseur de t\u00e9l\u00e9communications bas\u00e9 au Royaume-Uni, un fournisseur de t\u00e9l\u00e9communications sud-africaines et un service Internet italien, et un grand fournisseur de t\u00e9l\u00e9communications en Tha\u00eflande bas\u00e9 sur des communications d\u00e9tect\u00e9es entre les dispositifs Cisco infect\u00e9s Cisco infect\u00e9s. et l’infrastructure de l’acteur de menace.<\/p>\n Le attaques<\/a> a eu lieu entre le 4 d\u00e9cembre 2024 et le 23 janvier 2025, a d\u00e9clar\u00e9 que Future’s Insikt Group de Future, ajoutant l’adversaire, \u00e9galement suivi en Terre Estries, FamousSparrow, GhosterAmpteror, Redmike et UNC2286, a tent\u00e9 d’exploiter plus de 1000 appareils Cisco dans le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde pendant le monde au cours de la laps de temps.<\/p>\n Plus de la moiti\u00e9 des appareils cibl\u00e9s Cisco sont situ\u00e9s aux \u00c9tats-Unis, en Am\u00e9rique du Sud et en Inde. Dans ce qui semble \u00eatre un \u00e9largissement de l’orientation cibl\u00e9e, le typhon de sel a \u00e9galement \u00e9t\u00e9 observ\u00e9 des dispositifs associ\u00e9s \u00e0 plus d’une douzaine d’universit\u00e9s en Argentine, au Bangladesh, en Indon\u00e9sie, en Malaisie, au Mexique, aux Pays-Bas, en Tha\u00eflande, aux \u00c9tats-Unis et au Vietnam.<\/p>\n “Redmike a peut-\u00eatre cibl\u00e9 ces universit\u00e9s pour acc\u00e9der \u00e0 la recherche dans des domaines li\u00e9s aux t\u00e9l\u00e9communications, \u00e0 l’ing\u00e9nierie et \u00e0 la technologie, en particulier dans des institutions comme l’UCLA et le TU Delft”, la soci\u00e9t\u00e9 dit<\/a>.<\/p>\n Un compromis r\u00e9ussi est suivi par l’acteur de menace utilisant les privil\u00e8ges \u00e9lev\u00e9s pour modifier la configuration de l’appareil et ajouter un tunnel d’encapsulation de routage g\u00e9n\u00e9rique (GRE) pour l’acc\u00e8s persistant et l’exfiltration des donn\u00e9es entre les appareils Cisco compromis et leur infrastructure.<\/p>\n L’utilisation d’appareils de r\u00e9seau vuln\u00e9rables comme points d’entr\u00e9e pour cibler les victimes est devenu un livre de jeu standard pour le typhon de sel et d’autres groupes de piratage chinois tels que Typhon volt<\/a>en partie en raison du fait qu’ils manquent de contr\u00f4les de s\u00e9curit\u00e9 et ne sont pas pris en charge par les solutions de d\u00e9tection et de r\u00e9ponse (EDR).<\/p>\n Pour att\u00e9nuer le risque pos\u00e9 par de telles attaques, il est recommand\u00e9 que les organisations aient la priorit\u00e9 \u00e0 l’application de correctifs de s\u00e9curit\u00e9 et de mises \u00e0 jour disponibles sur des appareils de r\u00e9seau accessibles en bourse et \u00e0 \u00e9viter d’exposer des interfaces administratives ou des services non essentiels \u00e0 Internet, en particulier pour ceux qui ont atteint la fin de la fin de- la vie (EOL).<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/RA-World-Ransomware-Attack-en-Asie-du-Sud-Liens-vers.png\")
<\/a><\/center><\/div>\nSalt Typhoon exploite les appareils Cisco vuln\u00e9rables \u00e0 la violation des t\u00e9l\u00e9communications<\/h3>\n
<\/a><\/div>\n<\/a><\/center><\/div>\n