Un acteur de menace affili\u00e9 \u00e0 la Chine connue pour ses cyberattaques en Asie a \u00e9t\u00e9 observ\u00e9 exploitant un d\u00e9faut de s\u00e9curit\u00e9 dans les logiciels de s\u00e9curit\u00e9 de l’ESET pour fournir un nom de logiciel malveillant sans papiers auparavant sans papiers Tcesb<\/strong>.<\/p>\n “Auparavant invisible dans les attaques de todycat, [TCESB] est con\u00e7u pour ex\u00e9cuter furtivement les charges utiles dans le contournement des outils de protection et de surveillance install\u00e9s sur l’appareil, “Kaspersky dit<\/a> Dans une analyse publi\u00e9e cette semaine.<\/p>\n Toddycat est le nom donn\u00e9 \u00e0 un cluster d’activit\u00e9s de menace qui a cibl\u00e9 plusieurs entit\u00e9s en Asie, avec des attaques datant jusqu’\u00e0 au moins d\u00e9cembre 2020.<\/p>\n L’ann\u00e9e derni\u00e8re, le fournisseur russe de cybers\u00e9curit\u00e9 a d\u00e9taill\u00e9 l’utilisation par le groupe de piratage de divers outils pour maintenir un acc\u00e8s persistant \u00e0 des environnements compromis et r\u00e9colter les donn\u00e9es sur une “\u00e9chelle industrielle” des organisations situ\u00e9es dans la r\u00e9gion Asie-Pacifique.<\/p>\n Kaspersky a d\u00e9clar\u00e9 que son enqu\u00eate sur les incidents li\u00e9s \u00e0 Todycat au d\u00e9but de 2024 avait mis au jour un fichier DLL suspect (“version.dll”) dans le r\u00e9pertoire temporaire sur plusieurs appareils. La DLL 64 bits, TCESB, s’est av\u00e9r\u00e9e \u00eatre lanc\u00e9e via une technique appel\u00e9e DLL Rechercher la commande de d\u00e9tournement<\/a> pour prendre le contr\u00f4le du flux d’ex\u00e9cution.<\/p>\n Cela, \u00e0 son tour, aurait \u00e9t\u00e9 accompli en profitant d’un d\u00e9faut dans le Scanner de ligne de commande eset<\/a>qui charge ins\u00e9curit\u00e9 une DLL nomm\u00e9e “version.dll” en v\u00e9rifiant d’abord le fichier dans le r\u00e9pertoire actuel, puis en le v\u00e9rifiant dans les r\u00e9pertoires syst\u00e8me.<\/p>\n Il vaut la peine de souligner \u00e0 ce stade “version.dll<\/a>“est un l\u00e9gitime Biblioth\u00e8que de v\u00e9rification des versions et d’installation de fichiers<\/a> De Microsoft qui r\u00e9side dans le “C: Windows System32 ” ou “C: Windows Syswow64 ” r\u00e9pertoires.<\/p>\n Une cons\u00e9quence de l’exploitation de cette \u00e9chappatoire est que les attaquants pourraient ex\u00e9cuter leur version malveillante de “version.dll” par opposition \u00e0 son homologue l\u00e9gitime. La vuln\u00e9rabilit\u00e9, suivie comme CVE-2024-11859<\/a> (Score CVSS: 6,8), \u00e9tait fix\u00e9<\/a> par ESET fin janvier 2025 \u00e0 la suite de la divulgation responsable.<\/p>\n “La vuln\u00e9rabilit\u00e9 a potentiellement permis \u00e0 un attaquant avec des privil\u00e8ges administrateurs de charger une biblioth\u00e8que dynamique malveillante et d’ex\u00e9cuter son code”, ESET dit<\/a> Dans un avis publi\u00e9 la semaine derni\u00e8re. “Cette technique n’a cependant pas augment\u00e9 les privil\u00e8ges – l’attaquant aurait d\u00e9j\u00e0 eu besoin d’avoir des privil\u00e8ges administrateurs pour effectuer cette attaque.”<\/p>\n Dans une d\u00e9claration partag\u00e9e avec le Hacker News, la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir publi\u00e9 des cr\u00e9ations fixes de ses produits de s\u00e9curit\u00e9 de consommation, d’entreprise et de serveur pour le syst\u00e8me d’exploitation Windows pour r\u00e9soudre la vuln\u00e9rabilit\u00e9.<\/p>\n TCESB, pour sa part, est une version modifi\u00e9e d’un outil open source appel\u00e9 EDRSandBlast qui comprend des fonctionnalit\u00e9s pour modifier les structures du noyau du syst\u00e8me d’op\u00e9ration pour d\u00e9sactiver les routines de notification (aka rappels<\/a>), qui sont con\u00e7us pour permettre aux conducteurs d’\u00eatre inform\u00e9s d’\u00e9v\u00e9nements sp\u00e9cifiques, tels que la cr\u00e9ation de processus ou la d\u00e9finition d’une cl\u00e9 de registre.<\/p>\n Pour y parvenir, TCESB exploite une autre technique connue appel\u00e9e apporter votre propre pilote vuln\u00e9rable (BYOVD) pour installer un pilote vuln\u00e9rable, un pilote Dell dbuLdRv2.Sys, dans le syst\u00e8me via l’interface du gestionnaire de p\u00e9riph\u00e9riques. Le conducteur dbutildrv2.sys est sensible \u00e0 un d\u00e9faut d’escalade de privil\u00e8ge connu suivi comme CVE-2021-36276<\/a>.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Nouveau-logiciel-malveillant-TCESB-trouve-dans-les-attaques-actives-exploitant.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n