Le groupe de cyber-espionnage China-Nexus suivi sous le nom de UNC3886 a \u00e9t\u00e9 observ\u00e9 ciblant les routeurs MX de fin de vie de Juniper Networks dans le cadre d’une campagne con\u00e7ue pour d\u00e9ployer des incarc\u00e9r\u00e9es personnalis\u00e9es, mettant en \u00e9vidence leur capacit\u00e9 \u00e0 se concentrer sur l’infrastructure de r\u00e9seautage interne.<\/p>\n
“Les d\u00e9ambulations avaient des capacit\u00e9s personnalis\u00e9es variables, y compris les fonctions de porte d\u00e9rob\u00e9e actives et passives, ainsi qu’un script int\u00e9gr\u00e9 qui d\u00e9sactive dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n La soci\u00e9t\u00e9 de renseignement sur les menaces a d\u00e9crit le d\u00e9veloppement comme une \u00e9volution de l’adversaire de l’adversaire, qui a historiquement exploit\u00e9 les vuln\u00e9rabilit\u00e9s z\u00e9ro-jours dans les appareils Fortinet, Ivanti et VMware pour violer les r\u00e9seaux d’int\u00e9r\u00eat et \u00e9tablir la persistance de l’acc\u00e8s \u00e0 distance.<\/p>\n Docum\u00e9 pour la premi\u00e8re fois en septembre 2022, l’\u00e9quipe de piratage est \u00e9valu\u00e9e comme “tr\u00e8s adepte” et capable de cibler les appareils Edge et les technologies de virtualisation dans le but ultime de violer la d\u00e9fense, la technologie et les organisations de t\u00e9l\u00e9communications situ\u00e9es aux \u00c9tats-Unis et en Asie.<\/p>\n Ces attaques profitent g\u00e9n\u00e9ralement du fait que ces dispositifs de p\u00e9rim\u00e8tre de r\u00e9seau manquent de solutions de surveillance et de d\u00e9tection de s\u00e9curit\u00e9, leur permettant ainsi de fonctionner sans entrave et sans attirer l’attention.<\/p>\n “Le compromis des dispositifs de routage est une tendance r\u00e9cente dans les tactiques des adversaires motiv\u00e9s \u00e0 l’espionnage car il accorde la capacit\u00e9 d’un acc\u00e8s \u00e0 long terme et de haut niveau \u00e0 l’infrastructure de routage cruciale, avec un potentiel d’actions plus perturbatrices \u00e0 l’avenir”, a d\u00e9clar\u00e9 Mandiant.<\/p>\n La derni\u00e8re activit\u00e9, rep\u00e9r\u00e9e \u00e0 la mi-2024, implique l’utilisation d’implants bas\u00e9s sur Minou<\/a>une porte d\u00e9rob\u00e9e bas\u00e9e en C qui a \u00e9t\u00e9 utilis\u00e9e par divers groupes de piratage chinois comme le panda liminal et la fourmi velours dans le pass\u00e9.<\/p>\n Mandiant a d\u00e9clar\u00e9 avoir identifi\u00e9 six bornes de borlles \u00e0 base de tinyshell distinctes, chacune portant une capacit\u00e9 unique –<\/p>\n Il est \u00e9galement notable queVeriexec<\/a>) Protections, qui emp\u00eachent l’ex\u00e9cution du code non fiable. Ceci est accompli en obtenant un acc\u00e8s privil\u00e9gi\u00e9 \u00e0 un routeur \u00e0 partir d’un serveur de terminal utilis\u00e9 pour g\u00e9rer les p\u00e9riph\u00e9riques r\u00e9seau \u00e0 l’aide d’identification l\u00e9gitimes.<\/p>\n Les autorisations \u00e9lev\u00e9es sont ensuite utilis\u00e9es pour injecter les charges utiles malveillantes dans la m\u00e9moire d’un processus de chat l\u00e9gitime, ce qui entra\u00eene l’ex\u00e9cution de la porte d\u00e9rob\u00e9e LMPAD pendant que Veriexec est activ\u00e9e.<\/p>\n “L’objectif principal de ce logiciel malveillant est de d\u00e9sactiver toute la journalisation possible avant que l’op\u00e9rateur ne se connecte au routeur pour effectuer des activit\u00e9s pratiques, puis de restaurer plus tard les journaux apr\u00e8s la d\u00e9connexion de l’op\u00e9rateur”, a not\u00e9 Mandiant.<\/p>\n Certains des autres outils d\u00e9ploy\u00e9s par UNC3886 incluent Rootkits comme Reptile et Medusa; Pithook pour d\u00e9tourner les authentifications SSH et capturer les informations d’identification SSH; et Ghostown \u00e0 des fins anti-forances.<\/p>\n Les organisations sont recommand\u00e9es pour mettre \u00e0 niveau leurs appareils Juniper vers le Derni\u00e8res images<\/a> Lib\u00e9r\u00e9 par Juniper Networks, qui comprend des att\u00e9nuations et des signatures mises \u00e0 jour pour l’outil de suppression de logiciels malveillants Juniper (Jmrt<\/a>).<\/p>\n Le d\u00e9veloppement survient un peu plus d’un mois apr\u00e8s que Lumen Black Lotus Labs a r\u00e9v\u00e9l\u00e9 que les routeurs de r\u00e9seaux Juniper de qualit\u00e9 d’entreprise sont devenus la cible d’une porte d\u00e9rob\u00e9e personnalis\u00e9e dans le cadre d’une campagne surnomm\u00e9e J-Magic qui offre une variante d’une porte d\u00e9rob\u00e9e connue nomm\u00e9e CD00R.<\/p>\n “Les logiciels malveillants d\u00e9ploy\u00e9s sur les routeurs Junos OS Junos de Juniper Networks d\u00e9montrent que l’UNC3886 a une connaissance approfondie des internes de syst\u00e8me avanc\u00e9”, ont d\u00e9clar\u00e9 des chercheurs Mandiant.<\/p>\n “En outre, l’UNC3886 continue de hi\u00e9rarchiser la furtivit\u00e9 dans ses op\u00e9rations gr\u00e2ce \u00e0 l’utilisation de d\u00e9chets passifs, ainsi que de la falsification des artefacts en logarithme et en criminalistique, indiquant un accent sur la persistance \u00e0 long terme, tout en minimisant le risque de d\u00e9tection.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-chinoises-breche-les-routeurs-de-reseaux-de-genevriers.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n