Un acteur de menace persistante avanc\u00e9e (APT) parlant chinois auparavant sans papiers surnomm\u00e9 Dragon Aoqin<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une s\u00e9rie d’attaques \u00e0 caract\u00e8re d’espionnage visant des entit\u00e9s gouvernementales, \u00e9ducatives et de t\u00e9l\u00e9communications, principalement en Asie du Sud-Est et en Australie, remontant \u00e0 2013.<\/p>\n “Aoqin Dragon recherche un acc\u00e8s initial principalement par le biais d’exploits de documents et de l’utilisation de faux p\u00e9riph\u00e9riques amovibles”, a d\u00e9clar\u00e9 Joey Chen, chercheur \u00e0 SentinelOne. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. “Les autres techniques utilis\u00e9es par l’attaquant incluent le d\u00e9tournement de DLL, Fichiers remplis de Themida<\/a>et le tunneling DNS pour \u00e9chapper \u00e0 la d\u00e9tection post-compromis.”<\/p>\n Le groupe aurait un certain niveau d’association tactique avec un autre acteur mena\u00e7ant connu sous le nom de Naikon (alias Override Panda), les campagnes \u00e9tant principalement dirig\u00e9es contre des cibles en Australie, au Cambodge, \u00e0 Hong Kong, \u00e0 Singapour et au Vietnam.<\/p>\n Les cha\u00eenes d’infections mont\u00e9es par Aoqin Dragon ont mis\u00e9 sur les affaires politiques de l’Asie-Pacifique et les leurres de documents \u00e0 th\u00e8me pornographique ainsi que sur les techniques de raccourci USB pour d\u00e9clencher le d\u00e9ploiement de l’une des deux portes d\u00e9rob\u00e9es : Mongall et une version modifi\u00e9e de l’open-source Projet Heyoka<\/a>.<\/p>\n Jusqu’en 2015, cela impliquait de tirer parti des exploits pour les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 anciennes et non corrig\u00e9es (CVE-2012-0158<\/a> et CVE-2010-3333<\/a>) dans les documents leurres con\u00e7us pour inciter les cibles \u00e0 les ouvrir. Au fil des ans, l’acteur de la menace a fait \u00e9voluer son approche pour utiliser des droppers ex\u00e9cutables se faisant passer pour des logiciels antivirus de McAfee et Bkav pour d\u00e9ployer l’implant et se connecter \u00e0 un serveur distant.<\/p>\n “Bien que des fichiers ex\u00e9cutables avec de fausses ic\u00f4nes de fichiers aient \u00e9t\u00e9 utilis\u00e9s par divers acteurs, cela reste un outil efficace, en particulier pour les cibles APT”, a expliqu\u00e9 Chen. “Combin\u00e9s \u00e0 un contenu d’e-mail “int\u00e9ressant” et \u00e0 un nom de fichier accrocheur, les utilisateurs peuvent \u00eatre socialement incit\u00e9s \u00e0 cliquer sur le fichier.”<\/p>\n Cela dit, le plus r\u00e9cent vecteur d’acc\u00e8s initial d’Aoqin Dragon depuis 2018 est son utilisation d’un faux fichier de raccourci de p\u00e9riph\u00e9rique amovible (.LNK), qui, lorsqu’il est cliqu\u00e9, ex\u00e9cute un ex\u00e9cutable (“RemovableDisc.exe”) masqu\u00e9 avec l’ic\u00f4ne du l’application de prise de notes populaire Evernote, mais est con\u00e7ue pour fonctionner comme un chargeur pour deux charges utiles diff\u00e9rentes.<\/p>\n L’un des composants de la cha\u00eene d’infection est un diffuseur qui copie tous les fichiers malveillants sur d’autres p\u00e9riph\u00e9riques amovibles et le second module est une porte d\u00e9rob\u00e9e crypt\u00e9e qui s’injecte dans rundll32<\/a>la m\u00e9moire, un processus Windows natif<\/a> utilis\u00e9 pour charger et ex\u00e9cuter des fichiers DLL.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"Campagne](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1654808591_246_Une-campagne-despionnage-chinoise-dune-decennie-cible-lAsie-du-Sud-Est.jpg\" "\\"Campagne")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n