L’acteur de menace connue sous le nom Lotus Panda<\/strong> a \u00e9t\u00e9 observ\u00e9 ciblant les secteurs du gouvernement, de la fabrication, des t\u00e9l\u00e9communications et des m\u00e9dias aux Philippines, au Vietnam, \u00e0 Hong Kong et \u00e0 Ta\u00efwan avec des versions mises \u00e0 jour d’une porte d\u00e9rob\u00e9e connue appel\u00e9e Sagerunex.<\/p>\n “Lotus Blossom utilise la porte d\u00e9rob\u00e9e de Sagerunex depuis au moins 2016 et utilise de plus en plus des coquilles de commande de persistance \u00e0 long terme et d\u00e9veloppe de nouvelles variantes de la suite malware Sagerunex”, chercheur Cisco Talos Joey Chen dit<\/a> Dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n Lotus Panda, \u00e9galement connu sous le nom de Billbug, Bronze Elgin, Lotus Blossom, Spring Dragon et Thrip, est une \u00e9quipe de piratage chinoise suspect\u00e9e qui est active depuis au moins 2009. L’acteur de menace \u00e9tait Premier expos\u00e9<\/a> par Symantec en juin 2018.<\/p>\n Fin 2022, Symantec, appartenant \u00e0 Broadcom, a d\u00e9taill\u00e9 l’attaque de l’acteur de menace contre une autorit\u00e9 de certificat num\u00e9rique ainsi que sur le gouvernement et les agences de d\u00e9fense situ\u00e9es dans diff\u00e9rents pays d’Asie qui impliquaient l’utilisation de d\u00e9ambulations comme Hannotog et Sagerunex.<\/p>\n Le vecteur d’acc\u00e8s initial exact utilis\u00e9 pour violer les entit\u00e9s dans le dernier ensemble d’intrusions n’est pas connu, bien qu’il ait des ant\u00e9c\u00e9dents de r\u00e9daction des attaques de trou de lance et d’arrosage. La voie d’attaque non sp\u00e9cifi\u00e9e sert de conduit \u00e0 l’implant Sagerunex, qui est \u00e9valu\u00e9e comme une \u00e9volution d’un malware plus ancien de billbug connu sous le nom d’Evora.<\/p>\n L’activit\u00e9 est remarquable pour l’utilisation de deux nouvelles variantes “b\u00eata” des logiciels malveillants, qui exploitent des services l\u00e9gitimes comme Dropbox, X et Zimbra en tant que tunnels de commande et de contr\u00f4le (C2) pour \u00e9chapper \u00e0 la d\u00e9tection. Ils ont \u00e9t\u00e9 soi-disant en raison de la pr\u00e9sence de cha\u00eenes de d\u00e9bogage dans le code source.<\/p>\n La porte d\u00e9rob\u00e9e est con\u00e7ue pour recueillir les informations de l’h\u00f4te cible, la crypter et exfiltrer les d\u00e9tails d’un serveur distant sous le contr\u00f4le de l’attaquant. Les versions Dropbox et X de Sagerunex auraient \u00e9t\u00e9 utilis\u00e9es entre 2018 et 2022, tandis que la version Zimbra aurait exist\u00e9 depuis 2019.<\/p>\n “La version Zimbra Webmail de Sagerunex est non seulement con\u00e7ue pour collecter des informations sur la victime et l’envoyer dans la bo\u00eete aux lettres de Zimbra, mais aussi pour permettre \u00e0 l’acteur d’utiliser le contenu de Zimbra Mail pour donner des ordres et contr\u00f4ler la machine victime”, a d\u00e9clar\u00e9 Chen.<\/p>\n “S’il y a un contenu de commande de commande l\u00e9gitime dans la bo\u00eete aux lettres, la porte d\u00e9rob\u00e9e t\u00e9l\u00e9charge le contenu et extraire la commande, sinon la porte d\u00e9rob\u00e9e supprimera le contenu et attendra une commande l\u00e9gitime.”<\/p>\n Les r\u00e9sultats de l’ex\u00e9cution des commandes sont ensuite emball\u00e9s sous la forme d’une archive RAR et joints \u00e0 un projet de courrier \u00e9lectronique dans les dossiers du brouillon et des d\u00e9chets de la bo\u00eete aux lettres.<\/p>\n Les attaques sont \u00e9galement d\u00e9ploy\u00e9es dans les autres outils tels qu’un voleur de biscuits pour r\u00e9colter les informations d’identification du navigateur Chrome, un utilitaire proxy open source nomm\u00e9 Venin<\/a>un programme pour ajuster les privil\u00e8ges et les logiciels sur mesure pour comprimer et crypter les donn\u00e9es captur\u00e9es.<\/p>\n En outre, l’acteur de menace a \u00e9t\u00e9 observ\u00e9 en ex\u00e9cutant des commandes telles que Net, TaskList, IPConfig et Netstat pour effectuer la reconnaissance de l’environnement cible, en plus d’effectuer des ch\u00e8ques pour d\u00e9terminer l’acc\u00e8s \u00e0 Internet.<\/p>\n “Si l’acc\u00e8s \u00e0 Internet est restreint, l’acteur a deux strat\u00e9gies: utiliser les param\u00e8tres de proxy de la cible pour \u00e9tablir une connexion ou utiliser l’outil de proxy Venom pour relier les machines isol\u00e9es aux syst\u00e8mes accessibles \u00e0 Internet”, a not\u00e9 Talos.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Chinois-Apt-Lotus-Panda-cible-les-gouvernements-avec-de-nouvelles.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n