Un acteur de menace persistante avanc\u00e9e (APT) nomm\u00e9 ToddyChat<\/b> est li\u00e9 \u00e0 une s\u00e9rie d’attaques visant des entit\u00e9s de premier plan en Europe et en Asie depuis au moins d\u00e9cembre 2020.<\/p>\n
Le collectif contradictoire relativement nouveau aurait commenc\u00e9 ses op\u00e9rations en ciblant les serveurs Microsoft Exchange \u00e0 Ta\u00efwan et au Vietnam en utilisant un exploit inconnu pour d\u00e9ployer le shell Web China Chopper et activer une cha\u00eene d’infection en plusieurs \u00e9tapes.<\/p>\n
Parmi les autres pays de premier plan cibl\u00e9s figurent l’Afghanistan, l’Inde, l’Indon\u00e9sie, l’Iran, le Kirghizistan, la Malaisie, le Pakistan, la Russie, la Slovaquie, la Tha\u00eflande, le Royaume-Uni et l’Ouzb\u00e9kistan, tout comme l’acteur mena\u00e7ant a fait \u00e9voluer son ensemble d’outils au cours de diff\u00e9rentes campagnes.<\/p>\n
“La premi\u00e8re vague d’attaques ciblait exclusivement les serveurs Microsoft Exchange, qui ont \u00e9t\u00e9 compromis avec Samurai, une porte d\u00e9rob\u00e9e passive sophistiqu\u00e9e qui fonctionne g\u00e9n\u00e9ralement sur les ports 80 et 443”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky. a dit<\/a> dans un rapport publi\u00e9 aujourd’hui.<\/p>\n “Le malware permet l’ex\u00e9cution arbitraire de code C # et est utilis\u00e9 avec plusieurs modules qui permettent \u00e0 l’attaquant d’administrer le syst\u00e8me distant et de se d\u00e9placer lat\u00e9ralement \u00e0 l’int\u00e9rieur du r\u00e9seau cibl\u00e9.”<\/p>\n ToddyCat, \u00e9galement suivi sous le nom de Websiic par la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 ESET, a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en mars 2021 pour son exploitation des failles de ProxyLogon Exchange pour cibler des serveurs de messagerie appartenant \u00e0 des entreprises priv\u00e9es en Asie et \u00e0 un organisme gouvernemental en Europe.<\/p>\n La s\u00e9quence d’attaque post-d\u00e9ploiement du web shell China Chopper conduit \u00e0 l’ex\u00e9cution d’un dropper qui, \u00e0 son tour, est utilis\u00e9 pour apporter des modifications au registre Windows afin de lancer un chargeur de deuxi\u00e8me \u00e9tage, qui, quant \u00e0 lui, est con\u00e7u pour d\u00e9clencher un chargeur .NET de troisi\u00e8me niveau responsable de l’ex\u00e9cution de Samurai.<\/p>\n La porte d\u00e9rob\u00e9e, en plus d’utiliser des techniques telles que l’obscurcissement et l’aplatissement du flux de contr\u00f4le pour la rendre r\u00e9sistante \u00e0 l’ing\u00e9nierie inverse, est modulaire en ce que ses composants permettent d’ex\u00e9cuter des commandes arbitraires et d’exfiltrer des fichiers d’int\u00e9r\u00eat de l’h\u00f4te compromis.<\/p>\n Un outil sophistiqu\u00e9 nomm\u00e9 Ninja, cr\u00e9\u00e9 par l’implant Samurai et fonctionnant probablement comme un outil collaboratif permettant \u00e0 plusieurs op\u00e9rateurs de travailler simultan\u00e9ment sur la m\u00eame machine, a \u00e9galement \u00e9t\u00e9 observ\u00e9 dans des incidents sp\u00e9cifiques.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Microsoft-met-en-garde-contre-les-ecumeurs-Web-imitant-Google.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1655823804_610_Nouveau-groupe-ToddyCat-Hacker-sur-le-radar-des-experts-apres.jpg\")
<\/div>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n