Une paire de rapports d’entreprises de cybers\u00e9curit\u00e9 SEKOIA<\/a> et Trend Micro<\/a> met en lumi\u00e8re une nouvelle campagne men\u00e9e par un acteur mena\u00e7ant chinois nomm\u00e9 Souris chanceuse<\/b> qui implique l’utilisation d’une version cheval de Troie d’une application de messagerie multiplateforme pour les syst\u00e8mes de porte d\u00e9rob\u00e9e.<\/p>\n Les cha\u00eenes d’infection exploitent une application de chat appel\u00e9e MiMi, avec ses fichiers d’installation compromis pour t\u00e9l\u00e9charger et installer des exemples HyperBro pour le syst\u00e8me d’exploitation Windows et des artefacts rshell pour Linux et macOS.<\/p>\n Pas moins de 13 entit\u00e9s diff\u00e9rentes situ\u00e9es \u00e0 Ta\u00efwan et aux Philippines ont \u00e9t\u00e9 la cible des attaques, dont huit ont \u00e9t\u00e9 touch\u00e9es par des rshells. La premi\u00e8re victime de rshell a \u00e9t\u00e9 signal\u00e9e \u00e0 la mi-juillet 2021.<\/p>\n Lucky Mouse, \u00e9galement appel\u00e9 APT27<\/a>Bronze Union, Emissary Panda et Iron Tiger, est connue pour \u00eatre active depuis 2013 et a l’habitude d’avoir acc\u00e8s \u00e0 des r\u00e9seaux cibl\u00e9s dans la poursuite de ses objectifs politiques et militaires de collecte de renseignements align\u00e9s sur la Chine.<\/p>\n L’acteur avanc\u00e9 de menace persistante (APT) est \u00e9galement apte \u00e0 exfiltrer des informations de grande valeur \u00e0 l’aide d’une large gamme d’implants personnalis\u00e9s tels que SysUpdate, HyperFr\u00e8re<\/a>et PlugX.<\/p>\n Le dernier d\u00e9veloppement est important, notamment parce qu’il marque la tentative d’introduction de l’acteur mena\u00e7ant de cibler macOS aux c\u00f4t\u00e9s de Windows et Linux.<\/p>\n La campagne a toutes les caract\u00e9ristiques d’un attaque de la cha\u00eene d’approvisionnement<\/a> en ce que les serveurs principaux h\u00e9bergeant les installateurs d’applications de MiMi sont contr\u00f4l\u00e9s par Lucky Mouse, ce qui permet de modifier l’application pour r\u00e9cup\u00e9rer les portes d\u00e9rob\u00e9es \u00e0 partir d’un serveur distant.<\/p>\n Cela est confirm\u00e9 par le fait que la version 2.3.0 de macOS de l’application a \u00e9t\u00e9 falsifi\u00e9e pour ins\u00e9rer le code JavaScript malveillant le 26 mai 2022. Bien qu’il s’agisse peut-\u00eatre de la premi\u00e8re variante macOS compromise, les versions 2.2.0 et 2.2.1 con\u00e7ues pour Il a \u00e9t\u00e9 constat\u00e9 que Windows int\u00e8gre des ajouts similaires d\u00e8s le 23 novembre 2021.<\/p>\n rshell, pour sa part, est une porte d\u00e9rob\u00e9e standard qui vient avec toutes les cloches et sifflets habituels, permettant l’ex\u00e9cution de commandes arbitraires re\u00e7ues d’un serveur de commande et de contr\u00f4le (C2) et retransmettant les r\u00e9sultats de l’ex\u00e9cution \u00e0 le serveur.<\/p>\n Il n’est pas imm\u00e9diatement clair si MiMi est un programme de chat l\u00e9gitime, ou s’il a \u00e9t\u00e9 “con\u00e7u ou r\u00e9utilis\u00e9 comme un outil de surveillance”, bien que l’application ait \u00e9t\u00e9 utilis\u00e9e par un autre acteur de langue chinoise surnomm\u00e9 Terre Berberoka<\/a> (alias GamblingPuppet) destin\u00e9 aux sites de jeu en ligne – une fois de plus r\u00e9v\u00e9lateur du partage d’outils r\u00e9pandu parmi les groupes APT chinois.<\/p>\n Les connexions de l’op\u00e9ration \u00e0 Lucky Mouse proviennent de liens vers des infrastructures pr\u00e9c\u00e9demment identifi\u00e9es comme \u00e9tant utilis\u00e9es par l’ensemble d’intrusion China-nexus et le d\u00e9ploiement d’HyperBro, une porte d\u00e9rob\u00e9e exclusivement utilis\u00e9e par le groupe de pirates.<\/p>\n Comme le souligne SEKOIA, ce n’est pas la premi\u00e8re fois que l’adversaire a recours \u00e0 une application de messagerie comme point de d\u00e9part dans ses attaques. Fin 2020, ESET a r\u00e9v\u00e9l\u00e9 qu’un logiciel de chat populaire appel\u00e9 Able Desktop avait \u00e9t\u00e9 abus\u00e9 pour fournir HyperBro, PlugX et un cheval de Troie d’acc\u00e8s \u00e0 distance appel\u00e9 Tmanger ciblant la Mongolie.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"Application](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660400124_851_Des-hackers-chinois-ont-detourne-lapplication-MiMi-Chat-pour-cibler.jpg\" "\\"Application")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n