Un acteur avanc\u00e9 de menace persistante align\u00e9 sur la Chine connu sous le nom de TA413 a militaris\u00e9 les failles r\u00e9cemment r\u00e9v\u00e9l\u00e9es dans Sophos Firewall et Microsoft Office pour d\u00e9ployer une porte d\u00e9rob\u00e9e in\u00e9dite appel\u00e9e BASZ\u00c9RO <\/b>dans le cadre d’une campagne d’espionnage visant des entit\u00e9s tib\u00e9taines.<\/p>\n
Les cibles \u00e9taient principalement des organisations associ\u00e9es \u00e0 la communaut\u00e9 tib\u00e9taine, y compris des entreprises associ\u00e9es au gouvernement tib\u00e9tain en exil.<\/p>\n
Les intrusions impliquaient l’exploitation de CVE-2022-1040 et CVE-2022-30190 (alias “Follina”), deux vuln\u00e9rabilit\u00e9s d’ex\u00e9cution de code \u00e0 distance dans Sophos Firewall et Microsoft Office, respectivement.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/LUkraine-arrete-un-groupe-de-cybercriminalite-pour-avoir-vendu-les.png\")
<\/a><\/div>\n“Cette volont\u00e9 d’int\u00e9grer rapidement de nouvelles techniques et m\u00e9thodes d’acc\u00e8s initial contraste avec l’utilisation continue par le groupe de capacit\u00e9s bien connues et signal\u00e9es, telles que le militariseur Royal Road RTF, et les tendances souvent laxistes en mati\u00e8re d’approvisionnement en infrastructures”, a d\u00e9clar\u00e9 Recorded Future. a dit<\/a> dans une nouvelle analyse technique.<\/p>\n TA413, \u00e9galement connu sous le nom de LuckyCat, a \u00e9t\u00e9 li\u00e9 au ciblage sans rel\u00e2che d’organisations et d’individus associ\u00e9s \u00e0 la communaut\u00e9 tib\u00e9taine au moins depuis 2020 en utilisant des logiciels malveillants tels que ExileRAT, Sepulcher et une extension de navigateur Mozilla Firefox malveillante appel\u00e9e FriarFox.<\/p>\n L’exploitation par le groupe de la faille Follina avait d\u00e9j\u00e0 \u00e9t\u00e9 mise en \u00e9vidence par Proofpoint en juin 2022, m\u00eame si l’objectif ultime des cha\u00eenes d’infection restait flou.<\/p>\n Un document RTF malveillant a \u00e9galement \u00e9t\u00e9 utilis\u00e9 dans une attaque de spear-phishing identifi\u00e9e en mai 2022 qui exploitait les failles de Microsoft Equation Editor pour supprimer l’implant LOWZERO personnalis\u00e9. Ceci est r\u00e9alis\u00e9 en employant un Outil de militarisation Royal Road RTF<\/a>qui est largement partag\u00e9 par les acteurs chinois de la menace.<\/p>\n Dans un autre e-mail de phishing envoy\u00e9 \u00e0 une cible tib\u00e9taine fin mai, une pi\u00e8ce jointe Microsoft Word h\u00e9berg\u00e9e sur le service Google Firebase a tent\u00e9 d’exploiter la vuln\u00e9rabilit\u00e9 Follina pour ex\u00e9cuter une commande PowerShell con\u00e7ue pour t\u00e9l\u00e9charger la porte d\u00e9rob\u00e9e \u00e0 partir d’un serveur distant.<\/p>\n LOWZERO, la porte d\u00e9rob\u00e9e, est capable de recevoir des modules suppl\u00e9mentaires de son serveur de commande et de contr\u00f4le (C2), mais uniquement \u00e0 condition que la machine compromise soit consid\u00e9r\u00e9e comme pr\u00e9sentant un int\u00e9r\u00eat pour l’auteur de la menace.<\/p>\n “Le groupe continue d’int\u00e9grer de nouvelles capacit\u00e9s tout en s’appuyant sur des outils \u00e9prouv\u00e9s [tactics, techniques, and procedures,” the cybersecurity firm said.<\/p>\n “TA413’s adoption of both zero-day and recently published vulnerabilities is indicative of wider<\/a> trends<\/a> with Chinese cyber-espionage groups whereby exploits regularly appear in use by multiple distinct Chinese activity groups prior to their widespread public availability.”<\/p>\n <\/p>\n<\/div>\n![\"Hackers](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1664199926_186_Des-pirates-informatiques-chinois-ciblent-les-Tibetains-en-utilisant-la.jpg\" "\\"Hackers")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1664172218_621_LUkraine-arrete-un-groupe-de-cybercriminalite-pour-avoir-vendu-les.png\")
<\/a><\/div>\n