Diverses organisations industrielles de la r\u00e9gion Asie-Pacifique (APAC) ont \u00e9t\u00e9 cibl\u00e9es dans le cadre des attaques de phishing con\u00e7ues pour fournir un logiciel malveillant connu appel\u00e9 Fatalrat.<\/p>\n
“La menace a \u00e9t\u00e9 orchestr\u00e9e par les attaquants en utilisant le r\u00e9seau de livraison de contenu cloud chinois l\u00e9gitime (CDN) MyQCloud et le service Youdao Cloud Notes dans le cadre de leur infrastructure d’attaque”, Kaspersky ICS CERT dit<\/a> Dans un rapport lundi.<\/p>\n “Les attaquants ont utilis\u00e9 un cadre sophistiqu\u00e9 de livraison de charge utile en plusieurs \u00e9tapes pour assurer l’\u00e9vasion de la d\u00e9tection.”<\/p>\n L’activit\u00e9 a distingu\u00e9 les agences gouvernementales et les organisations industrielles, en particulier la fabrication, la construction, les technologies de l’information, les t\u00e9l\u00e9communications, les soins de sant\u00e9, l’\u00e9nergie et l’\u00e9nergie, et la logistique et les transports \u00e0 grande \u00e9chelle, \u00e0 Ta\u00efwan, en Malaisie, en Chine, au Japon, en Tha\u00eflande, en Cor\u00e9e du Sud, \u00e0 Singapour, , les Philippines, le Vietnam et Hong Kong.<\/p>\n Les pi\u00e8ces jointes utilis\u00e9es dans les e-mails sugg\u00e8rent que la campagne de phishing est con\u00e7ue pour s’attaquer aux personnes de langue chinoise.<\/p>\n Il convient de noter que Fatalrat<\/a> Les campagnes ont pr\u00e9c\u00e9demment exploit\u00e9 des fausses publicit\u00e9s Google en tant que vecteur de distribution. En septembre 2023, Proofpoint a document\u00e9 une autre campagne de phishing par e-mail qui a propag\u00e9 diverses familles de logiciels malveillants tels que Fatalrat, Gh0st Rat, Purple Fox et Valleyrat.<\/p>\n Un aspect int\u00e9ressant des deux ensembles d’intrusion est qu’ils ont principalement cibl\u00e9 des orateurs chinois et des organisations japonaises. Certaines de ces activit\u00e9s ont \u00e9t\u00e9 attribu\u00e9es \u00e0 un acteur de menace suivi comme Silver Fox Apt.<\/p>\n Le point de d\u00e9part de la derni\u00e8re cha\u00eene d’attaque est un e-mail de phishing contenant une archive zip avec un nom de fichier chinois, qui, lorsqu’il est lanc\u00e9, lance le chargeur de premi\u00e8re \u00e9tape qui, \u00e0 son tour, fait une demande \u00e0 Youdao Cloud Notes afin de r\u00e9cup\u00e9rer un fichier DLL et un configurateur fatalrat.<\/p>\n Pour sa part, le module de configurator t\u00e9l\u00e9charge le contenu d’une autre note de note.youdao[.]com afin d’acc\u00e9der aux informations de configuration. Il est \u00e9galement con\u00e7u pour ouvrir un fichier de leurre dans le but d’\u00e9viter de soutenir les soup\u00e7ons.<\/p>\n La DLL, en revanche, est un chargeur de deuxi\u00e8me \u00e9tape qui est responsable du t\u00e9l\u00e9chargement et de l’installation de la charge utile Fatalrat d’un serveur (“MyQCloud[.]com “) sp\u00e9cifi\u00e9 dans la configuration, tout en affichant un faux message d’erreur sur un probl\u00e8me ex\u00e9cutant l’application.<\/p>\n Une caract\u00e9ristique importante de la campagne comprend l’utilisation de techniques de chargement lat\u00e9ral DLL pour faire avancer la s\u00e9quence d’infection en plusieurs \u00e9tapes et charger le malware Fatalrat.<\/p>\n “L’acteur de menace utilise une m\u00e9thode en noir et blanc o\u00f9 l’acteur exploite la fonctionnalit\u00e9 des binaires l\u00e9gitimes pour faire ressembler la cha\u00eene d’\u00e9v\u00e9nements \u00e0 une activit\u00e9 normale”, a d\u00e9clar\u00e9 Kaspersky. “Les attaquants ont \u00e9galement utilis\u00e9 une technique de chargement lat\u00e9ral DLL pour cacher la persistance des logiciels malveillants dans la m\u00e9moire de processus l\u00e9gitime.”<\/p>\n “Fatalrat effectue 17 v\u00e9rifie un indicateur que le malware ex\u00e9cute dans un environnement de machine virtuelle ou de bac \u00e0 sable. Si l’un des v\u00e9rifications \u00e9choue, le malware cesse d’ex\u00e9cuter.”<\/p>\n Il met \u00e9galement fin \u00e0 toutes les instances du processus Rundll32.exe et rassemble des informations sur le syst\u00e8me et les diff\u00e9rentes solutions de s\u00e9curit\u00e9 qui y sont install\u00e9es, avant d’attendre d’autres instructions d’un serveur de commande et de contr\u00f4le (C2).<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-attaques-de-phishing-fatalrat-ciblent-les-industries-APAC-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n