Les chercheurs en cybers\u00e9curit\u00e9 ont fait la lumi\u00e8re sur un nouvel acteur de menace li\u00e9 \u00e0 la Chine appel\u00e9e Alines de la Terre<\/strong> Cela a cibl\u00e9 divers secteurs cl\u00e9s tels que le gouvernement, la technologie, la logistique, la fabrication, les t\u00e9l\u00e9communications, les services informatiques et le commerce de d\u00e9tail dans les r\u00e9gions d’Asie-Pacifique (APAC) et d’Am\u00e9rique latine (LATAM).<\/p>\n “La premi\u00e8re observation de son activit\u00e9 a eu lieu au deuxi\u00e8me quart de 2023; \u00e0 l’\u00e9poque, il a \u00e9t\u00e9 principalement observ\u00e9 dans la r\u00e9gion de l’APAC”, a d\u00e9clar\u00e9 les micro-chercheurs Lenart Bermejo, Ted Lee et Theo Chen dit<\/a> Dans un rapport technique publi\u00e9 lundi. “Vers le milieu de 2024, il a \u00e9galement \u00e9t\u00e9 rep\u00e9r\u00e9 en Am\u00e9rique latine.”<\/p>\n Les principaux objectifs des pays collectifs contradictoires tels que la Tha\u00eflande, les Philippines, la Malaisie, Ta\u00efwan et le Br\u00e9sil.<\/p>\n Les cha\u00eenes d’infection commencent par l’exploitation de services vuln\u00e9rables dans les applications Web expos\u00e9es \u00e0 Internet, en les utilisant pour supprimer le shell Web Godzilla pour faciliter le d\u00e9ploiement de charges utiles suppl\u00e9mentaires, y compris les d\u00e9charges surnomm\u00e9es Vargeit et Cobeacon (aka Cobalt Strike Beacon).<\/p>\n Vargeit offre la possibilit\u00e9 de charger des outils directement de son serveur de commande et de contr\u00f4le (C&C) \u00e0 un processus nouvellement engendr\u00e9 de Paint Microsoft (“mspaint.exe”) pour faciliter la reconnaissance, la collecte et l’exfiltration.<\/p>\n “Vargeit est \u00e9galement la principale m\u00e9thode \u00e0 travers laquelle Terre Alux exploite des outils suppl\u00e9mentaires pour diverses t\u00e2ches, telles que le mouvement lat\u00e9ral et la d\u00e9couverte de r\u00e9seau de mani\u00e8re sans fil”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Un point qui m\u00e9rite d’\u00eatre mentionn\u00e9 ici est que bien que Vargeit soit utilis\u00e9 comme une porte d\u00e9rob\u00e9e premi\u00e8re, deuxi\u00e8me ou ult\u00e9rieure, Cobeacon est employ\u00e9 comme porte d\u00e9rob\u00e9e de premi\u00e8re \u00e9tape. Ce dernier est lanc\u00e9 au moyen d’un chargeur doubl\u00e9 Masqloader, ou via RSBinject, un chargeur de code de ligne de commande bas\u00e9 sur la rouille.<\/p>\n Des it\u00e9rations ult\u00e9rieures de Masqloader ont \u00e9galement \u00e9t\u00e9 observ\u00e9es en mettant en \u0153uvre une technique d’accrochage anti-API qui \u00e9crase tous les crochets ntdll.dll ins\u00e9r\u00e9s par des programmes de s\u00e9curit\u00e9 pour d\u00e9tecter les processus suspects fonctionnant sur Windows, permettant ainsi au malware et \u00e0 la charge utile int\u00e9gr\u00e9e \u00e0 l’avion pour voler sous le radar.<\/p>\n L’ex\u00e9cution de Vargeit entra\u00eene le d\u00e9ploiement de plus d’outils, y compris un composant de chargeur, Railload qui est ex\u00e9cut\u00e9 \u00e0 l’aide d’une technique connue sous le nom de chargement DLL, et est utilis\u00e9e pour ex\u00e9cuter une charge utile crypt\u00e9e situ\u00e9e dans un dossier diff\u00e9rent. <\/p>\n La deuxi\u00e8me charge utile est une persistance et horloge<\/a> Module appel\u00e9 Railsetter qui modifie les horodatages associ\u00e9s aux artefacts de Railload sur l’h\u00f4te compromis, ainsi que la cr\u00e9ation d’une t\u00e2che planifi\u00e9e pour lancer Railload.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Les-Alux-de-Terre-lies-a-la-Chine-utilisent-Vargeit.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n