Une variante Linux d’une porte d\u00e9rob\u00e9e connue sous le nom de SideWalk a \u00e9t\u00e9 utilis\u00e9e pour cibler une universit\u00e9 de Hong Kong en f\u00e9vrier 2021, soulignant les capacit\u00e9s multiplateformes de l’implant. <\/p>\n
La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 ESET, qui a d\u00e9tect\u00e9 le logiciel malveillant dans le r\u00e9seau de l’universit\u00e9, a attribu\u00e9 la porte d\u00e9rob\u00e9e \u00e0 un acteur de l’\u00c9tat-nation surnomm\u00e9 MousseuxGobelin<\/strong>. L’universit\u00e9 sans nom aurait d\u00e9j\u00e0 \u00e9t\u00e9 cibl\u00e9e par le groupe en mai 2020 lors de la manifestations \u00e9tudiantes<\/a>.<\/p>\n “Le groupe a continuellement cibl\u00e9 cette organisation sur une longue p\u00e9riode, compromettant avec succ\u00e8s plusieurs serveurs cl\u00e9s, y compris un serveur d’impression, un serveur de messagerie et un serveur utilis\u00e9 pour g\u00e9rer les horaires des \u00e9tudiants et les inscriptions aux cours”, ESET a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n SparklingGoblin est le nom donn\u00e9 \u00e0 un groupe chinois de menace persistante avanc\u00e9e (APT) avec des connexions au Parapluie Winnti<\/a> (alias APT41, Baryum ou Wicked Panda). Il est principalement connu pour ses attaques visant diverses entit\u00e9s en Asie de l’Est et du Sud-Est au moins depuis 2019, avec un accent particulier sur le secteur universitaire.<\/p>\n En ao\u00fbt 2021, ESET a d\u00e9couvert un nouveau logiciel malveillant Windows personnalis\u00e9 nomm\u00e9 SideWalk qui a \u00e9t\u00e9 exclusivement exploit\u00e9 par l’acteur pour frapper une soci\u00e9t\u00e9 de vente au d\u00e9tail d’ordinateurs anonyme bas\u00e9e aux \u00c9tats-Unis.<\/p>\n Les d\u00e9couvertes ult\u00e9rieures de Symantec, qui fait partie du logiciel Broadcom, ont li\u00e9 l’utilisation de SideWalk \u00e0 un groupe d’attaques d’espionnage qu’il suit sous le nom de Grayfly, tout en soulignant les similitudes du malware avec celui de Crosswalk.<\/p>\n “Les tactiques, techniques et proc\u00e9dures (TTP) de SparklingGoblin se chevauchent partiellement avec les TTP APT41”, a d\u00e9clar\u00e9 Mathieu Tartare, chercheur sur les logiciels malveillants chez ESET, \u00e0 The Hacker News. “La d\u00e9finition de Grayfly donn\u00e9e par Symantec semble (au moins partiellement) se chevaucher avec SparklingGoblin.”<\/p>\n Les derni\u00e8res recherches d’ESET plongent dans l’homologue Linux de SideWalk (appel\u00e9 \u00e0 l’origine StageClient<\/a> en juillet 2021), l’analyse r\u00e9v\u00e9lant \u00e9galement que Spectre RAT<\/a>un botnet Linux apparu en septembre 2020, est en fait \u00e9galement une variante Linux de SideWalk.<\/p>\n Outre les multiples similitudes de code entre SideWalk Linux et divers outils SparklingGoblin, l’un des exemples Linux a \u00e9t\u00e9 trouv\u00e9 en utilisant une adresse de commande et de contr\u00f4le (66.42.103[.]222) qui \u00e9tait auparavant utilis\u00e9 par SparklingGoblin.<\/p>\n D’autres points communs incluent l’utilisation de la m\u00eame impl\u00e9mentation ChaCha20 sur mesure, plusieurs threads pour ex\u00e9cuter une t\u00e2che particuli\u00e8re, l’algorithme ChaCha20 pour d\u00e9chiffrer sa configuration et un r\u00e9solveur de chute morte<\/a> charge utile.<\/p>\n Malgr\u00e9 ces chevauchements, il y a quelques changements importants, le plus notable \u00e9tant le passage de C \u00e0 C++, l’ajout de nouveaux modules int\u00e9gr\u00e9s pour ex\u00e9cuter des t\u00e2ches planifi\u00e9es et collecter des informations syst\u00e8me, et des modifications de quatre commandes qui ne sont pas g\u00e9r\u00e9es dans la version Linux. .<\/p>\n “Puisque nous n’avons vu la variante Linux qu’une seule fois dans notre t\u00e9l\u00e9m\u00e9trie (d\u00e9ploy\u00e9e dans une universit\u00e9 de Hong Kong en f\u00e9vrier 2021), on peut consid\u00e9rer que la variante Linux est moins r\u00e9pandue — mais nous avons \u00e9galement moins de visibilit\u00e9 sur les syst\u00e8mes Linux, ce qui pourrait expliquer cela, ” dit Tartare.<\/p>\n “D’autre part, la variante Spectre Linux est utilis\u00e9e contre les cam\u00e9ras IP et les appareils NVR et DVR (sur lesquels nous n’avons aucune visibilit\u00e9) et se propage massivement en exploitant une vuln\u00e9rabilit\u00e9 sur ces appareils.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"Pirates](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663155206_281_SparklingGoblin-APT-Hackers-utilisant-la-nouvelle-variante-Linux-de-SideWalk.jpg\" "\\"Pirates")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663127305_866_Plus-de-280-000-sites-WordPress-attaques-a-laide-de.png\")
<\/a><\/div>\n