{"id":397966,"date":"2022-10-05T03:07:34","date_gmt":"2022-10-05T05:07:34","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-associent-cheerscrypt-linux-ransomware-a-des-pirates-chinois\/"},"modified":"2022-10-05T03:07:36","modified_gmt":"2022-10-05T05:07:36","slug":"des-chercheurs-associent-cheerscrypt-linux-ransomware-a-des-pirates-chinois","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-associent-cheerscrypt-linux-ransomware-a-des-pirates-chinois\/","title":{"rendered":"Des chercheurs associent Cheerscrypt Linux Ransomware \u00e0 des pirates chinois"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

La souche de ransomware bas\u00e9e sur Linux r\u00e9cemment d\u00e9couverte, connue sous le nom de Cheerscrypt, a \u00e9t\u00e9 d\u00e9voil\u00e9e comme l’\u0153uvre d’un groupe de cyberespionnage chinois connu pour exploiter des programmes de ransomware de courte dur\u00e9e.<\/p>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sygnia a attribu\u00e9 les attaques \u00e0 un acteur mena\u00e7ant qu’elle suit sous le nom d’Emperor Dragonfly, \u00e9galement connu sous le nom de Bronze Starlight (Secureworks) et DEV-0401 (Microsoft).<\/p>\n

“Emperor Dragonfly a d\u00e9ploy\u00e9 des outils open source \u00e9crits par des d\u00e9veloppeurs chinois pour des utilisateurs chinois”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News. “Cela renforce les affirmations selon lesquelles les op\u00e9rateurs de ran\u00e7ongiciels ‘Emperor Dragonfly’ sont bas\u00e9s en Chine.”<\/p>\n

\"La<\/a><\/div>\n

L’utilisation de Cheerscrypt est le dernier ajout \u00e0 une longue liste de familles de ransomwares pr\u00e9c\u00e9demment d\u00e9ploy\u00e9es par le groupe en un peu plus d’un an, notamment LockFile, Atom Silo, Rook, Night Sky, Pandora et LockBit 2.0.<\/p>\n

Secureworks, dans son profil du groupe, c’est not\u00e9<\/a> “Il est plausible que Bronze Starlight d\u00e9ploie un ransomware comme \u00e9cran de fum\u00e9e plut\u00f4t que pour un gain financier, avec la motivation sous-jacente de voler la propri\u00e9t\u00e9 intellectuelle ou de mener de l’espionnage.”<\/p>\n

Cheerscrypt \u00e9tait d’abord document\u00e9<\/a> par Trend Micro en mai 2022, appelant ses capacit\u00e9s \u00e0 cibler les serveurs VMware ESXi dans le cadre d’une tactique \u00e9prouv\u00e9e appel\u00e9e double extorsion pour contraindre ses victimes \u00e0 payer la ran\u00e7on ou risquer d’\u00eatre expos\u00e9es aux donn\u00e9es.<\/p>\n

Il s’est \u00e9galement revendiqu\u00e9 pro-ukrainien, affichant un “Gloire \u00e0 l’Ukraine!<\/a>” message sur leur site de fuite de donn\u00e9es sur le dark web.<\/p>\n

\"\"<\/div>\n

Fait int\u00e9ressant, les partages du ransomware chevauchent la version Linux du ransomware Babuk, dont le code source a \u00e9t\u00e9 divulgu\u00e9 en septembre 2021 et qui constitue \u00e9galement la base des familles Rook, Night Sky et Pandora de l’Empereur Dragonfly.<\/p>\n

Le modus operandi de l’acteur mena\u00e7ant se distingue en outre par sa gestion de toutes les \u00e9tapes du cycle de vie de l’attaque par ransomware, depuis l’acc\u00e8s initial jusqu’au d\u00e9ploiement du ransomware, sans d\u00e9pendre des affili\u00e9s et des courtiers d’acc\u00e8s. Microsoft a d\u00e9crit DEV-0401 comme un acteur “loup solitaire”.<\/p>\n

\"La<\/a><\/div>\n

Les cha\u00eenes d’infection observ\u00e9es \u00e0 ce jour ont utilis\u00e9 la vuln\u00e9rabilit\u00e9 critique Log4Shell dans la biblioth\u00e8que Apache Log4j pour compromettre les serveurs VMware Horizon afin de supprimer une charge utile PowerShell capable de fournir une balise Cobalt Strike chiffr\u00e9e.<\/p>\n

Sygnia a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert trois outils suppl\u00e9mentaires bas\u00e9s sur Go d\u00e9ploy\u00e9s en tandem avec la balise : un enregistreur de frappe<\/a> qui exporte les frappes enregistr\u00e9es vers Alibaba Cloud, un utilitaire de proxy Internet appel\u00e9 iox<\/a>et un logiciel de tunnellisation appel\u00e9 NPS<\/a>.<\/p>\n

Les liens de Cheerscrypt avec Emperor Dragonfly d\u00e9coulent de similitudes dans les vecteurs d’acc\u00e8s initiaux, les techniques de mouvement lat\u00e9ral et le d\u00e9ploiement de la balise crypt\u00e9e Cobalt Strike via Chargement lat\u00e9ral de DLL<\/a>.<\/p>\n

“Emperor Dragonfly est un op\u00e9rateur de ransomware bas\u00e9 en Chine, ce qui en fait une raret\u00e9 dans le paysage des menaces d’aujourd’hui”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant qu'”un seul acteur de la menace a men\u00e9 toute l’op\u00e9ration”.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

La souche de ransomware bas\u00e9e sur Linux r\u00e9cemment d\u00e9couverte, connue sous le nom de Cheerscrypt, a \u00e9t\u00e9 d\u00e9voil\u00e9e comme l’\u0153uvre d’un groupe de cyberespionnage chinois connu pour exploiter des programmes de ransomware de courte dur\u00e9e. La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sygnia a attribu\u00e9 les attaques \u00e0 un acteur mena\u00e7ant qu’elle suit sous le nom d’Emperor Dragonfly, […]<\/p>\n","protected":false},"author":1,"featured_media":397967,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[100835,114342,12848,5663,4168,4158,4165,4161,133,4157,4159,4171,4170,18088,4167,4160,4163,4162,4394,4392,4172,4169,4166,4164],"class_list":["post-397966","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-associent","tag-cheerscrypt","tag-chercheurs","tag-chinois","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-des","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-linux","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-pirates","tag-ransomware","tag-securite-informatique","tag-securite-internet","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/397966","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=397966"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/397966\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/397967"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=397966"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=397966"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=397966"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}