Une grande entreprise de t\u00e9l\u00e9communications situ\u00e9e en Asie aurait \u00e9t\u00e9 viol\u00e9e par des pirates chinois parrain\u00e9s par l’\u00c9tat qui ont pass\u00e9 plus de quatre ans \u00e0 l’int\u00e9rieur de ses syst\u00e8mes, selon un nouveau rapport de la soci\u00e9t\u00e9 d’intervention en cas d’incident Sygnia.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suit l’activit\u00e9 sous le nom Fourmi de tisserand<\/strong>d\u00e9crivant l’acteur de menace comme furtif et tr\u00e8s persistant. Le nom du fournisseur de t\u00e9l\u00e9communications n’a pas \u00e9t\u00e9 divulgu\u00e9.<\/p>\n “En utilisant des coquilles Web et des tunnels, les attaquants ont maintenu la persistance et facilit\u00e9 le cyber-espionnage”, Sygnia dit<\/a>. “Le groupe derri\u00e8re cette intrusion […] visait \u00e0 gagner et \u00e0 maintenir un acc\u00e8s continu aux fournisseurs de t\u00e9l\u00e9communications et \u00e0 faciliter le cyber-espionnage en collectant des informations sensibles. “<\/p>\n La cha\u00eene d’attaque aurait impliqu\u00e9 l’exploitation d’une application orient\u00e9e vers le public pour supprimer deux coquilles Web diff\u00e9rentes, une variante crypt\u00e9e de China Chopper et un outil malveillant sans papiers pr\u00e9c\u00e9demment surnomm\u00e9 InMemory. Il convient de noter que China Chopper a \u00e9t\u00e9 utilis\u00e9 par plusieurs groupes de piratage chinois dans le pass\u00e9.<\/p>\n Inmemory, comme son nom l’indique, est con\u00e7u pour d\u00e9coder une cha\u00eene cod\u00e9e de base64 et l’ex\u00e9cuter enti\u00e8rement en m\u00e9moire sans l’\u00e9crire sur le disque, ne laissant ainsi aucun sentier m\u00e9dico-l\u00e9gal.<\/p>\n “Le shell Web ‘Inmemory” a ex\u00e9cut\u00e9 le code C # contenu dans un ex\u00e9cutable portable (PE) nomm\u00e9’ EVAL.DLL ” qui ex\u00e9cute finalement la charge utile livr\u00e9e via une demande HTTP “, a d\u00e9clar\u00e9 Sygnia.<\/p>\n Les coquilles Web se sont av\u00e9r\u00e9es agir comme un tremplin pour livrer des charges utiles de la prochaine \u00e9tape, la plus notable \u00e9tant un outil de tunnel HTTP r\u00e9cursif qui est utilis\u00e9 pour faciliter le mouvement lat\u00e9ral sur SMB, une tactique pr\u00e9c\u00e9demment adopt\u00e9e par d’autres acteurs de menace comme Elephant Beetle.<\/p>\n De plus, le trafic crypt\u00e9 passant par le tunnel de shell Web sert de conduit pour effectuer une s\u00e9rie d’actions post-exploits, notamment –<\/p>\n Sygnia a d\u00e9clar\u00e9 que Weaver Ant pr\u00e9sente des caract\u00e9ristiques g\u00e9n\u00e9ralement associ\u00e9es \u00e0 un groupe de cyber-espionnage China-Nexus en raison des mod\u00e8les de ciblage et des objectifs “bien d\u00e9finis” de la campagne.<\/p>\n Ce lien est \u00e9galement mis en \u00e9vidence par la pr\u00e9sence du Shell China Chopper Web, l’utilisation d’un r\u00e9seau de bo\u00eetes de relais op\u00e9rationnelles (ORB) comprenant des routeurs zyxels pour procurer le trafic et obscurcir leur infrastructure, les heures de travail des pirates et le d\u00e9ploiement d’une porte-porte d’embourse d’obstacles anciennement attribu\u00e9e \u00e0 la panda \u00e9missaire.<\/p>\n “Tout au long de cette p\u00e9riode, Weaver Ant a adapt\u00e9 son TTPS \u00e0 l’environnement du r\u00e9seau \u00e9volutif, utilisant des m\u00e9thodes innovantes pour retrouver l’acc\u00e8s et se soutenir”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Le modus operandi des ensembles d’intrusion chinois-nexus implique g\u00e9n\u00e9ralement le partage d’outils, d’infrastructures et parfois de main-d’\u0153uvre, tels que par le biais de entrepreneurs partag\u00e9s.”<\/p>\n La divulgation intervient quelques jours apr\u00e8s que le minist\u00e8re chinois de la s\u00e9curit\u00e9 des \u00c9tats (MSS) accus\u00e9<\/a> Quatre personnes pr\u00e9tendument li\u00e9es aux militaires de Taiwan de conduisant des cyberattaques contre le continent. Taiwan a r\u00e9fut\u00e9<\/a> les all\u00e9gations.<\/p>\n Le MSS a d\u00e9clar\u00e9 que les quatre individus sont membres du commandement de l’information, des communications et des forces \u00e9lectroniques de Ta\u00efwan (ICEFCOM), et que l’entit\u00e9 engage des attaques de phishing, des courriels de propagande ciblant le gouvernement et les agences militaires et des campagnes de d\u00e9sinformation \u00e0 l’aide d’alias sur les r\u00e9seaux sociaux.<\/p>\n Les intrusions auraient \u00e9galement impliqu\u00e9 l’utilisation approfondie d’outils open source comme le shell Web Atsword, Icescorpion, Metasploit et Quasar Rat.<\/p>\n “Le\u00ab Commandement des informations et des forces \u00e9lectroniques de l’information \u00bba sp\u00e9cifiquement embauch\u00e9 des pirates et des soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9 comme soutien externe pour ex\u00e9cuter les directives de cyber-warfare publi\u00e9es par les autorit\u00e9s du Parti progressiste d\u00e9mocratique (DPP)\u00bb, a-t-il d\u00e9clar\u00e9. “Leurs activit\u00e9s comprennent l’espionnage, le sabotage et la propagande.”<\/p>\n Co\u00efncidant avec la d\u00e9claration MSS, les entreprises chinoises de cybers\u00e9curit\u00e9 Qianxin<\/a> et Anti-<\/a> ont des attaques de phistes de lance d\u00e9taill\u00e9es orchestr\u00e9es par un acteur de menace ta\u00efwanais nomm\u00e9 APT-Q-20 (AKA APT-C-01, Greenspot, Poison Cloud Vine et White Dolphin) qui conduisent \u00e0 la livraison d’un trojan C ++ et de la commande de commandement (C2) comme COBALT STROW et SLIVER.<\/p>\n D’autres m\u00e9thodes d’acc\u00e8s initiales impliquent l’exploitation des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 des jours et des mots de passe faibles dans les appareils Internet des objets tels que les routeurs, les cam\u00e9ras et les pare-feu, a ajout\u00e9 Qianxin, caract\u00e9risant les activit\u00e9s de l’acteur de menace comme “pas particuli\u00e8rement intelligents”.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-chinois-abritent-les-telecommunications-asiatiques-restent-non-detectees.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\nLa Chine identifie 4 pirates ta\u00efwanais pr\u00e9tendument derri\u00e8re l’espionnage<\/h3>\n
<\/a><\/center><\/div>\n