Un cluster d’activit\u00e9s de menace inconnu ciblait les organisations europ\u00e9ennes, en particulier celles du secteur de la sant\u00e9, pour d\u00e9ployer Plugx et son successeur, ShadowPad, les intrusions conduisant finalement au d\u00e9ploiement d’un ransomware appel\u00e9 Nailaolocker dans certains cas.<\/p>\n
La campagne, nomm\u00e9e Green Nailao par Orange Cyberdefense CERT, a impliqu\u00e9 l’exploitation d’un nouveau d\u00e9faut de s\u00e9curit\u00e9 paralys\u00e9 dans les produits de s\u00e9curit\u00e9 du r\u00e9seau de point de contr\u00f4le (CVE-2024-24919, score CVSS: 7,5). Les attaques ont \u00e9t\u00e9 observ\u00e9es entre juin et octobre 2024.<\/p>\n
“La campagne s’est appuy\u00e9e sur le d\u00e9tournement de l’ordre de recherche DLL pour d\u00e9ployer ShadowPad et Plugx – deux implants souvent associ\u00e9s aux intrusions cibl\u00e9es en Chine-Nexus”, la soci\u00e9t\u00e9 dit<\/a> Dans un rapport technique partag\u00e9 avec le Hacker News.<\/p>\n L’acc\u00e8s initial offert par l’exploitation des instances de point de contr\u00f4le vuln\u00e9rable aurait permis aux acteurs de la menace de r\u00e9cup\u00e9rer les informations d’identification des utilisateurs et de se connecter au VPN \u00e0 l’aide d’un compte l\u00e9gitime.<\/p>\n Dans la prochaine \u00e9tape, les attaquants ont r\u00e9alis\u00e9 une reconnaissance du r\u00e9seau et un mouvement lat\u00e9ral via le protocole de bureau \u00e9loign\u00e9 (RDP) pour obtenir des privil\u00e8ges \u00e9lev\u00e9s, suivis par l’ex\u00e9cution d’un binaire l\u00e9gitime (“logger.exe”) pour la relocolent une dll rogue (“LOGEXTS.DLL” ) Cela sert ensuite de chargeur pour une nouvelle version du logiciel malveillant ShadowPad.<\/p>\n Les it\u00e9rations pr\u00e9c\u00e9dentes des attaques d\u00e9tect\u00e9es en ao\u00fbt 2024 se sont av\u00e9r\u00e9es tirer parti de Tradecraft similaire pour livrer Plugx, qui utilise \u00e9galement le chargement lat\u00e9ral DLL \u00e0 l’aide d’un ex\u00e9cutable McAfee (“MCOEMCPY.EXE”) \u00e0 Sideload “McUtil.dll”.<\/p>\n Comme Plugx, ShadowPad est un malware vendu priv\u00e9 utilis\u00e9 exclusivement par les acteurs d’espionnage chinois depuis au moins 2015. La variante identifi\u00e9e par Orange CyberDefense CERT propose une obfuscation sophistiqu\u00e9e et des mesures anti-d\u00e9bugs, en ainsi qu’\u00e9tablir une communication avec un serveur distant pour cr\u00e9er un acc\u00e8s \u00e0 distance persistant \u00e0 Syst\u00e8mes de victimes. <\/p>\n Il existe des preuves sugg\u00e9rant que les acteurs de la menace ont tent\u00e9 d’exfiltrer les donn\u00e9es en acc\u00e9dant au syst\u00e8me de fichiers et en cr\u00e9ant des archives ZIP. Les intrusions culminent avec l’utilisation de Windows Management Instrumentation (WMI) pour transmettre trois fichiers, un ex\u00e9cutable l\u00e9gitime sign\u00e9 par Beijing Huorong Network Technology Co., Ltd (“Usysdiag.exe”), un chargeur nomm\u00e9 Nailaoloader (“Sensapi.Dll”) et Nailaolocker (“usysdiag.exe.dat”).<\/p>\n Encore une fois, le fichier DLL est col\u00e9\u00e9 via “usysdiag.exe” pour d\u00e9crypter et d\u00e9clencher l’ex\u00e9cution de Nailaolocker, un ransomware bas\u00e9 sur C ++ qui crypte les fichiers, les ajoute avec une extension “. Bloqu\u00e9e” et laisse tomber une note de ran\u00e7on qui exige les victimes des victimes Pour effectuer un paiement Bitcoin ou contactez-les \u00e0 une adresse courante Proton.<\/p>\n “Nailaolocker est relativement peu sophistiqu\u00e9 et mal con\u00e7u, apparemment pas destin\u00e9 \u00e0 garantir un chiffrement complet”, a d\u00e9clar\u00e9 les chercheurs Marine Pichon et Alexis Bonnefoi.<\/p>\n “Il ne scanne pas les partages du r\u00e9seau, il n’arr\u00eate pas les services ou les processus qui pourraient emp\u00eacher le chiffrement de certains fichiers importants, [and] Il ne contr\u00f4le pas s’il est d\u00e9bogu\u00e9. “<\/p>\n Orange a attribu\u00e9 l’activit\u00e9 avec une confiance moyenne \u00e0 un acteur de menace align\u00e9 chinois en raison de l’utilisation de l’implant de ShadowPad, de l’utilisation de techniques de chargement lat\u00e9rales DLL et du fait que des sch\u00e9mas de ransomware similaires ont \u00e9t\u00e9 attribu\u00e9s \u00e0 un autre groupe de menace chinois doubl\u00e9 de bronze Lumi\u00e8re des \u00e9toiles.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-attaquants-lies-au-chinois-exploitent-le-point-de-cheque.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n