Une campagne de cyberespionnage de plusieurs mois men\u00e9e par un groupe d’\u00c9tats-nations chinois a cibl\u00e9 plusieurs entit\u00e9s avec des logiciels malveillants de reconnaissance afin de glaner des informations sur ses victimes et d’atteindre ses objectifs strat\u00e9giques.<\/p>\n
“Les cibles de cette r\u00e9cente campagne couvraient l’Australie, la Malaisie et l’Europe, ainsi que des entit\u00e9s op\u00e9rant dans la mer de Chine m\u00e9ridionale”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint. a dit<\/a> dans une publication en partenariat avec PwC.<\/p>\n Les cibles englobent les agences gouvernementales australiennes locales et f\u00e9d\u00e9rales, les soci\u00e9t\u00e9s de m\u00e9dias d’information australiennes et les fabricants mondiaux de l’industrie lourde qui effectuent la maintenance des flottes d’\u00e9oliennes dans la mer de Chine m\u00e9ridionale.<\/p>\n Proofpoint et PwC ont attribu\u00e9 les intrusions avec une confiance mod\u00e9r\u00e9e \u00e0 un acteur de la menace suivi par les deux soci\u00e9t\u00e9s sous les noms respectifs de TA423 et Red Ladon, \u00e9galement connu sous les noms d’APT40 et de Leviathan.<\/p>\n APT40 est le nom attribu\u00e9 \u00e0 un acteur de menace bas\u00e9 en Chine et motiv\u00e9 par l’espionnage, connu pour \u00eatre actif depuis 2013 et qui a un sch\u00e9ma d’entit\u00e9s frappantes dans la r\u00e9gion Asie-Pacifique, avec un accent principal sur la mer de Chine m\u00e9ridionale. En juillet 2021, le gouvernement am\u00e9ricain et ses alli\u00e9s li\u00e9<\/a> le collectif contradictoire au minist\u00e8re chinois de la S\u00e9curit\u00e9 d’\u00c9tat (MSS).<\/p>\n Les attaques ont pris la forme de plusieurs vagues de campagnes de phishing entre le 12 avril et le 15 juin qui ont utilis\u00e9 des URL se faisant passer pour des entreprises de m\u00e9dias australiennes pour livrer le Bo\u00eete de num\u00e9risation<\/a> cadre de reconnaissance. Les e-mails de phishing \u00e9taient accompagn\u00e9s d’objets tels que “Cong\u00e9 de maladie”, “Recherche d’utilisateurs” et “Demande de coop\u00e9ration”.<\/p>\n Contrairement aux trous d’eau ou aux compromis Web strat\u00e9giques dans lesquels un site Web l\u00e9gitime connu pour \u00eatre visit\u00e9 par les cibles est infect\u00e9 par un code JavaScript malveillant, l’activit\u00e9 APT40 exploite un domaine contr\u00f4l\u00e9 par un acteur qui est utilis\u00e9 pour diffuser le logiciel malveillant.<\/p>\n “L’acteur de la menace se ferait souvent passer pour un employ\u00e9 de la publication m\u00e9diatique fictive” Australian Morning News “, fournissant une URL vers le domaine malveillant et sollicitant des cibles pour consulter son site Web ou partager le contenu de recherche que le site Web publierait”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n ScanBox, utilis\u00e9 dans attaques<\/a> d\u00e8s 2014, est un Logiciels malveillants bas\u00e9s sur JavaScript<\/a> qui permet aux acteurs de la menace de profiler leurs victimes ainsi que de fournir des charges utiles de la prochaine \u00e9tape aux cibles d’int\u00e9r\u00eat. Il est \u00e9galement connu pour \u00eatre partag\u00e9 en priv\u00e9 entre plusieurs groupes de piratage bas\u00e9s en Chine, tout comme HUI Loader, PlugX et ShadowPad.<\/p>\n Certains des acteurs de menace notables qui ont d\u00e9j\u00e0 \u00e9t\u00e9 observ\u00e9s \u00e0 l’aide de ScanBox incluent APT10 (alias Red Apollo ou Stone Panda), APT27 (alias Emissary Panda, Lucky Mouse ou Red Phoenix) et TA413 (alias Lucky Cat).<\/p>\n Un certain nombre de plug-ins lui permettent \u00e9galement d’enregistrer les frappes au clavier, d’identifier le navigateur, de rassembler une liste des modules compl\u00e9mentaires de navigateur install\u00e9s, de communiquer avec les machines infect\u00e9es et de v\u00e9rifier la pr\u00e9sence de Logiciel Kaspersky Internet Security (KIS).<\/p>\n Ce n’est pas la premi\u00e8re fois qu’APT40 adopte le modus operandi consistant \u00e0 utiliser de faux sites Web d’informations pour d\u00e9ployer ScanBox. Une campagne de phishing en 2018 d\u00e9couvert<\/a> par Mandiant a utilis\u00e9 des URL d’articles de presse h\u00e9berg\u00e9s sur un domaine escroc comme leurres pour inciter les destinataires \u00e0 t\u00e9l\u00e9charger le logiciel malveillant.<\/p>\n Fait int\u00e9ressant, les attaques d’avril \u00e0 juin font partie d’une activit\u00e9 de phishing soutenue li\u00e9e au m\u00eame acteur mena\u00e7ant ciblant des organisations bas\u00e9es en Malaisie et en Australie ainsi que des entreprises mondiales potentiellement li\u00e9es \u00e0 des projets \u00e9nerg\u00e9tiques offshore en mer de Chine m\u00e9ridionale de mars 2021 \u00e0 mars 2022.<\/p>\n Ces attaques ont utilis\u00e9 des documents RTF malveillants pour fournir un t\u00e9l\u00e9chargeur de premi\u00e8re \u00e9tape qui a ensuite agi comme un conduit pour r\u00e9cup\u00e9rer les versions cod\u00e9es du shellcode Meterpreter. L’une des victimes de cette campagne de mars 2022 \u00e9tait un fabricant europ\u00e9en d’\u00e9quipements lourds utilis\u00e9s dans les parcs \u00e9oliens offshore du d\u00e9troit de Taiwan.<\/p>\n Ce n’est pas tout. APT40 a \u00e9galement \u00e9t\u00e9 attribu\u00e9 \u00e0 l’origine des compromis copier-coller que le Centre australien de cybers\u00e9curit\u00e9 (ACSC) a divulgu\u00e9s en juin 2020 et qui \u00e9taient dirig\u00e9s contre des agences gouvernementales.<\/p>\n “Cet acteur de la menace a d\u00e9montr\u00e9 une concentration constante sur les entit\u00e9s impliqu\u00e9es dans l’exploration \u00e9nerg\u00e9tique en mer de Chine m\u00e9ridionale, en tandem avec des cibles nationales australiennes, notamment la d\u00e9fense et la sant\u00e9”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"Attaques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1661921485_181_Les-pirates-chinois-ont-utilise-le-framework-ScanBox-dans-les.jpg\" "\\"Attaques")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n