Un acteur chinois “extr\u00eamement sophistiqu\u00e9” de la menace persistante avanc\u00e9e (APT) surnomm\u00e9 LuoYu<\/strong> a \u00e9t\u00e9 observ\u00e9 en utilisant un outil Windows malveillant appel\u00e9 WinDealer qui est livr\u00e9 au moyen d’attaques de type “man-on-the-side”.<\/p>\n “Ce d\u00e9veloppement r\u00e9volutionnaire permet \u00e0 l’acteur de modifier le trafic r\u00e9seau en transit pour ins\u00e9rer des charges utiles malveillantes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky. a dit<\/a> dans un nouveau rapport. “De telles attaques sont particuli\u00e8rement dangereuses et d\u00e9vastatrices car elles ne n\u00e9cessitent aucune interaction avec la cible pour mener \u00e0 une infection r\u00e9ussie.”<\/p>\n Connues pour \u00eatre actives depuis 2008, les organisations cibl\u00e9es par LuoYu sont principalement des organisations diplomatiques \u00e9trang\u00e8res \u00e9tablies en Chine et des membres de la communaut\u00e9 universitaire ainsi que des soci\u00e9t\u00e9s financi\u00e8res, de d\u00e9fense, de logistique et de t\u00e9l\u00e9communications.<\/p>\n L’utilisation par LuoYu de WinDealer<\/a> a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par une soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 ta\u00efwanaise \u00c9quipeT5<\/a> lors de la Japan Security Analyst Conference (JSAC) en janvier 2021. campagnes d’attaque<\/a> ont utilis\u00e9 le logiciel malveillant pour cibler des entit\u00e9s japonaises, avec des infections isol\u00e9es signal\u00e9es en Autriche, en Allemagne, en Inde, en Russie et aux \u00c9tats-Unis<\/p>\n Parmi les autres outils faisant partie de l’arsenal de logiciels malveillants de l’adversaire, citons PlugX et son successeur ShadowPad, qui ont tous deux \u00e9t\u00e9 utilis\u00e9s par divers acteurs chinois de la menace pour atteindre leurs objectifs strat\u00e9giques. De plus, l’acteur est connu pour cibler les appareils Linux, macOS et Android.<\/p>\n WinDealer, pour sa part, a \u00e9t\u00e9 livr\u00e9 dans le pass\u00e9 via des sites Web qui agissent comme points d’eau<\/a> et sous la forme d’applications trojanis\u00e9es se faisant passer pour des services de messagerie instantan\u00e9e et d’h\u00e9bergement vid\u00e9o comme Tencent QQ et Youku.<\/p>\n Mais le vecteur d’infection a depuis \u00e9t\u00e9 \u00e9chang\u00e9 contre une autre m\u00e9thode de distribution qui utilise le m\u00e9canisme de mise \u00e0 jour automatique de certaines applications l\u00e9gitimes pour servir une version compromise de l’ex\u00e9cutable en \u00ab de rares occasions \u00bb.<\/p>\n WinDealer, une plate-forme modulaire de logiciels malveillants \u00e0 la base, est livr\u00e9 avec toutes les cloches et sifflets habituels associ\u00e9s \u00e0 une porte d\u00e9rob\u00e9e traditionnelle, ce qui lui permet d’aspirer des informations sensibles, de capturer des captures d’\u00e9cran et d’ex\u00e9cuter des commandes arbitraires.<\/p>\n Mais l\u00e0 o\u00f9 il se distingue \u00e9galement, c’est son utilisation d’un algorithme complexe de g\u00e9n\u00e9ration d’IP pour s\u00e9lectionner un serveur de commande et de contr\u00f4le (C2) auquel se connecter au hasard \u00e0 partir d’un pool de 48 000 adresses IP.<\/p>\n “La seule fa\u00e7on d’expliquer ces comportements r\u00e9seau apparemment impossibles est de supposer l’existence d’un attaquant de l’homme du c\u00f4t\u00e9 qui est capable d’intercepter tout le trafic r\u00e9seau et m\u00eame de le modifier si n\u00e9cessaire”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1654282021_429_Les-hackers-chinois-LuoYu-utilisent-des-attaques-de-type-Man-on-the-Side.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n