Un cheval de Troie d’acc\u00e8s \u00e0 distance in\u00e9dit appel\u00e9 ZuoRAT<\/b> a distingu\u00e9 les routeurs pour petits bureaux\/bureaux \u00e0 domicile (SOHO) dans le cadre d’une campagne sophistiqu\u00e9e ciblant les r\u00e9seaux nord-am\u00e9ricains et europ\u00e9ens.<\/p>\n
Le logiciel malveillant “accorde \u00e0 l’acteur la possibilit\u00e9 de pivoter vers le r\u00e9seau local et d’acc\u00e9der \u00e0 des syst\u00e8mes suppl\u00e9mentaires sur le r\u00e9seau local en d\u00e9tournant les communications r\u00e9seau pour maintenir une pr\u00e9sence non d\u00e9tect\u00e9e”, ont d\u00e9clar\u00e9 des chercheurs de Lumen Black Lotus Labs dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n
L’op\u00e9ration furtive, qui ciblait les routeurs d’ASUS, Cisco, DrayTek et NETGEAR, aurait commenc\u00e9 au d\u00e9but de 2020 au cours des premiers mois de la pand\u00e9mie de COVID-19, restant effectivement sous le radar pendant plus de deux ans.<\/p>\n
“Les consommateurs et les employ\u00e9s distants utilisent r\u00e9guli\u00e8rement des routeurs SOHO, mais ces appareils sont rarement surveill\u00e9s ou corrig\u00e9s, ce qui en fait l’un des points les plus faibles du p\u00e9rim\u00e8tre d’un r\u00e9seau”, a d\u00e9clar\u00e9 l’\u00e9quipe de renseignement sur les menaces de l’entreprise.<\/p>\n
L’acc\u00e8s initial aux routeurs est obtenu en recherchant les failles connues non corrig\u00e9es pour charger l’outil d’acc\u00e8s \u00e0 distance, en l’utilisant pour acc\u00e9der au r\u00e9seau et en abandonnant un chargeur de shellcode de la prochaine \u00e9tape qui est utilis\u00e9 pour fournir Cobalt Strike et des portes d\u00e9rob\u00e9es personnalis\u00e9es telles que CBeacon et GoBeacon qui sont capables d’ex\u00e9cuter des commandes arbitraires.<\/p>\n
En plus de permettre une reconnaissance approfondie des r\u00e9seaux cibles, la collecte de trafic et le piratage des communications r\u00e9seau, le logiciel malveillant a \u00e9t\u00e9 d\u00e9crit comme une version fortement modifi\u00e9e du botnet Mirai, dont le code source a \u00e9t\u00e9 divulgu\u00e9 en octobre 2016.<\/p>\n
![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1656432749_413_Le-logiciel-malveillant-ZuoRAT-detourne-les-routeurs-du-bureau-a.jpg\" "\\"Logiciel")
<\/div>\n“ZuoRAT est un fichier MIPS compil\u00e9 pour les routeurs SOHO qui peut \u00e9num\u00e9rer un h\u00f4te et un LAN interne, capturer les paquets transmis sur l’appareil infect\u00e9 et effectuer des attaques par personne du milieu (d\u00e9tournement DNS et HTTPS bas\u00e9 sur des r\u00e8gles pr\u00e9d\u00e9finies)” ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n
Une fonction est \u00e9galement incluse pour collecter les connexions TCP sur les ports 21 et 8443, qui sont associ\u00e9es au FTP et \u00e0 la navigation Web, permettant potentiellement \u00e0 l’adversaire de garder un \u0153il sur l’activit\u00e9 Internet des utilisateurs derri\u00e8re le routeur compromis.<\/p>\n
D’autres capacit\u00e9s de ZuoRAT permettent aux attaquants de surveiller le trafic DNS et HTTPS dans le but de d\u00e9tourner les requ\u00eates et de rediriger les victimes vers des domaines malveillants en utilisant des r\u00e8gles pr\u00e9d\u00e9finies qui sont g\u00e9n\u00e9r\u00e9es et stock\u00e9es dans des r\u00e9pertoires temporaires pour tenter de r\u00e9sister \u00e0 l’analyse m\u00e9dico-l\u00e9gale.<\/p>\n
![\"Piratage](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1656432750_804_Le-logiciel-malveillant-ZuoRAT-detourne-les-routeurs-du-bureau-a.jpg\" "\\"Piratage")
<\/div>\nCe n’est pas la seule mesure prise par les pirates pour dissimuler leurs activit\u00e9s, car les attaques reposent sur une infrastructure C2 obscurcie \u00e0 plusieurs \u00e9tapes qui implique l’utilisation d’un serveur priv\u00e9 virtuel pour supprimer l’exploit RAT initial et tirer parti des routeurs compromis eux-m\u00eames en tant que serveurs proxy C2. .<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\nPour \u00e9viter davantage la d\u00e9tection, le serveur de transfert a \u00e9t\u00e9 rep\u00e9r\u00e9 h\u00e9bergeant un contenu apparemment inoffensif, dans un cas imitant un site Web appel\u00e9 “muhsinlar.net”, un portail de propagande<\/a> mis en place pour le parti islamique du Turkestan (POINTE<\/a>), un groupe extr\u00e9miste ou\u00efghour originaire de Chine. <\/p>\n L’identit\u00e9 du collectif adverse derri\u00e8re la campagne reste inconnue, bien qu’une analyse des artefacts ait r\u00e9v\u00e9l\u00e9 de possibles r\u00e9f\u00e9rences \u00e0 la province chinoise de Xiancheng et l’utilisation de Yuque et Tencent d’Alibaba pour le commandement et le contr\u00f4le (C2).<\/p>\n La nature \u00e9labor\u00e9e et \u00e9vasive de l’op\u00e9ration, associ\u00e9e aux tactiques utilis\u00e9es dans les attaques pour rester sous couverture, indique une activit\u00e9 potentielle de l’\u00c9tat-nation, a not\u00e9 Black Lotus Labs.<\/p>\n “Les capacit\u00e9s d\u00e9montr\u00e9es dans cette campagne – acc\u00e9der \u00e0 des appareils SOHO de diff\u00e9rentes marques et mod\u00e8les, collecter des informations sur l’h\u00f4te et le r\u00e9seau local pour informer le ciblage, l’\u00e9chantillonnage et le d\u00e9tournement des communications r\u00e9seau afin d’obtenir un acc\u00e8s potentiellement persistant aux appareils terrestres et \u00e0 une infrastructure C2 intentionnellement furtive tirant parti de plusieurs \u00e9tapes communications cloisonn\u00e9es de routeur \u00e0 routeur – indique un acteur hautement sophistiqu\u00e9 \u00bb, ont conclu les chercheurs.<\/p>\n <\/p>\n<\/div>\n