Une menace persistante avanc\u00e9e (APT) chinoise connue sous le nom de Gallium a \u00e9t\u00e9 observ\u00e9e en utilisant un cheval de Troie d’acc\u00e8s \u00e0 distance auparavant non document\u00e9 dans ses attaques d’espionnage ciblant des entreprises op\u00e9rant en Asie du Sud-Est, en Europe et en Afrique.<\/p>\n
Appel\u00e9 PingPull<\/strong><\/a>la porte d\u00e9rob\u00e9e “difficile \u00e0 d\u00e9tecter” se distingue par son utilisation du protocole de message de contr\u00f4le Internet (ICMP<\/a>) pour les communications de commande et de contr\u00f4le (C2), selon une nouvelle \u00e9tude publi\u00e9e aujourd’hui par l’unit\u00e9 42 de Palo Alto Networks.<\/p>\n Gallium est connu pour ses attaques visant principalement les entreprises de t\u00e9l\u00e9communications remontant \u00e0 2012. \u00c9galement suivi sous le nom Cellule douce<\/a> par Cybereason, l’acteur parrain\u00e9 par l’\u00c9tat a \u00e9t\u00e9 connect\u00e9 \u00e0 un ensemble plus large d’attaques ciblant cinq grandes entreprises de t\u00e9l\u00e9communications situ\u00e9es dans les pays d’Asie du Sud-Est depuis 2017.<\/p>\n Au cours de l’ann\u00e9e \u00e9coul\u00e9e, cependant, le groupe aurait \u00e9largi son empreinte victimologique pour inclure des institutions financi\u00e8res et des entit\u00e9s gouvernementales situ\u00e9es en Afghanistan, en Australie, en Belgique, au Cambodge, en Malaisie, au Mozambique, aux Philippines, en Russie et au Vietnam.<\/p>\n PingPull, un logiciel malveillant bas\u00e9 sur Visual C++, offre \u00e0 un pirate la possibilit\u00e9 d’acc\u00e9der \u00e0 un shell invers\u00e9 et d’ex\u00e9cuter des commandes arbitraires sur un h\u00f4te compromis. Cela comprend l’ex\u00e9cution d’op\u00e9rations sur les fichiers, l’\u00e9num\u00e9ration des volumes de stockage et horodatage<\/a> des dossiers.<\/p>\n “Les \u00e9chantillons PingPull qui utilisent ICMP pour les communications C2 envoient des paquets ICMP Echo Request (ping) au serveur C2”, ont d\u00e9taill\u00e9 les chercheurs. “Le serveur C2 r\u00e9pondra \u00e0 ces demandes d’\u00e9cho avec un paquet de r\u00e9ponse d’\u00e9cho pour envoyer des commandes au syst\u00e8me.”<\/p>\n Sont \u00e9galement identifi\u00e9es des variantes de PingPull qui s’appuient sur HTTPS et TCP pour communiquer avec son serveur C2 au lieu d’ICMP et plus de 170 adresses IP associ\u00e9es au groupe depuis fin 2020.<\/p>\n On ne sait pas imm\u00e9diatement comment les r\u00e9seaux cibl\u00e9s sont pirat\u00e9s, bien que l’acteur de la menace soit connu pour exploiter les applications expos\u00e9es \u00e0 Internet pour prendre pied et d\u00e9ployer une version modifi\u00e9e du Hachoir de Chine<\/a> shell Web pour \u00e9tablir la persistance.<\/p>\n “Le gallium reste une menace active pour les t\u00e9l\u00e9communications, la finance et les organisations gouvernementales en Asie du Sud-Est, en Europe et en Afrique”, ont not\u00e9 les chercheurs.<\/p>\n “Bien que l’utilisation du tunneling ICMP ne soit pas une nouvelle technique, PingPull utilise ICMP pour rendre plus difficile la d\u00e9tection de ses communications C2, car peu d’organisations mettent en \u0153uvre l’inspection du trafic ICMP sur leurs r\u00e9seaux.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1655140563_656_Les-pirates-informatiques-chinois-Gallium-utilisent-le-nouveau-logiciel-malveillant.jpg\" "\\"Logiciel")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n