{"id":413802,"date":"2022-10-14T15:19:40","date_gmt":"2022-10-14T17:19:40","guid":{"rendered":"https:\/\/teknomers.com\/fr\/nouveau-groupe-de-cyberespionnage-chinois-ciblant-les-fournisseurs-de-services-informatiques-et-les-operateurs-de-telecommunications\/"},"modified":"2022-10-14T15:19:41","modified_gmt":"2022-10-14T17:19:41","slug":"nouveau-groupe-de-cyberespionnage-chinois-ciblant-les-fournisseurs-de-services-informatiques-et-les-operateurs-de-telecommunications","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/nouveau-groupe-de-cyberespionnage-chinois-ciblant-les-fournisseurs-de-services-informatiques-et-les-operateurs-de-telecommunications\/","title":{"rendered":"Nouveau groupe de cyberespionnage chinois ciblant les fournisseurs de services informatiques et les op\u00e9rateurs de t\u00e9l\u00e9communications"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Les fournisseurs de services de t\u00e9l\u00e9communications et d’informatique au Moyen-Orient et en Asie sont cibl\u00e9s par un groupe de menaces de langue chinoise sans papiers, surnomm\u00e9 WIP19<\/b>.<\/p>\n

Les attaques li\u00e9es \u00e0 l’espionnage se caract\u00e9risent par l’utilisation d’un certificat num\u00e9rique vol\u00e9 \u00e9mis par une soci\u00e9t\u00e9 cor\u00e9enne appel\u00e9e DEEPSoft<\/b> pour signer les artefacts malveillants d\u00e9ploy\u00e9s au cours de la cha\u00eene d’infection pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n

“Presque toutes les op\u00e9rations effectu\u00e9es par l’acteur de la menace ont \u00e9t\u00e9 effectu\u00e9es \u00e0 la mani\u00e8re d’un “clavier pratique”, lors d’une session interactive avec des machines compromises”, ont d\u00e9clar\u00e9 Joey Chen et Amitai Ben Shushan Ehrlich, chercheurs de SentinelOne. a dit<\/a> dans un rapport cette semaine.<\/p>\n

\"La<\/a><\/div>\n

“Cela signifiait que l’attaquant avait abandonn\u00e9 une \u00e9curie [command-and-control] canal en \u00e9change de furtivit\u00e9.”<\/p>\n

WIP, abr\u00e9viation de travail en cours, est le surnom attribu\u00e9 par SentinelOne aux clusters d’activit\u00e9s \u00e9mergents ou jusqu’ici non attribu\u00e9s, similaires aux d\u00e9signations UNC####, DEV-#### et TAG-## donn\u00e9es par Mandiant, Microsoft et Recorded Future.<\/p>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9galement not\u00e9 que certaines parties des composants malveillants utilis\u00e9s par WIP19 ont \u00e9t\u00e9 cr\u00e9\u00e9s par un auteur de logiciels malveillants de langue chinoise appel\u00e9 WinEggDrop, qui est actif depuis 2014.<\/p>\n

On dit que WIP19 partage des liens vers un autre groupe nomm\u00e9 Op\u00e9ration Shadow Force<\/a> en raison de chevauchements dans l’utilisation de logiciels malveillants cr\u00e9\u00e9s par WinEggDrop, de certificats vol\u00e9s et de chevauchements tactiques.<\/p>\n

Cela dit, a not\u00e9 SentinelOne, “il n’est pas clair s’il s’agit d’une nouvelle it\u00e9ration de l’op\u00e9ration” Shadow Force “ou simplement d’un acteur diff\u00e9rent utilisant des TTP similaires”.<\/p>\n

\"Groupe<\/div>\n

Les intrusions mont\u00e9es par le collectif contradictoire reposent sur un ensemble d’outils sur mesure qui comprend une combinaison d’un dumper d’informations d’identification, d’un scanner de r\u00e9seau, d’un voleur de navigateur, d’un enregistreur de frappe et d’un enregistreur d’\u00e9cran (ScreenCap), et d’un implant connu sous le nom de SQLMaggie.<\/p>\n

SQLMaggie a \u00e9galement fait l’objet d’une analyse approfondie par la soci\u00e9t\u00e9 allemande de cybers\u00e9curit\u00e9 DCSO CyTec<\/a> plus t\u00f4t ce mois-ci, appelant \u00e0 sa capacit\u00e9 \u00e0 p\u00e9n\u00e9trer dans les serveurs Microsoft SQL et \u00e0 tirer parti de l’acc\u00e8s pour ex\u00e9cuter des commandes arbitraires via des requ\u00eates SQL.<\/p>\n

\"La<\/a><\/div>\n

Une analyse des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie a en outre r\u00e9v\u00e9l\u00e9 la pr\u00e9sence de SQLMaggie dans 285 serveurs r\u00e9partis dans 42 pays, principalement la Cor\u00e9e du Sud, l’Inde, le Vietnam, la Chine, Ta\u00efwan, la Russie, la Tha\u00eflande, l’Allemagne, l’Iran et les \u00c9tats-Unis.<\/p>\n

Le fait que les attaques soient cibl\u00e9es avec pr\u00e9cision et de faible volume, sans parler du fait qu’elles ont cibl\u00e9 le secteur des t\u00e9l\u00e9communications, indique que le motif principal de la campagne pourrait \u00eatre de recueillir des renseignements.<\/p>\n

Les r\u00e9sultats sont une autre indication de la fa\u00e7on dont les groupes de piratage align\u00e9s sur la Chine sont \u00e0 la fois \u00e9tendus et fluides en raison de la r\u00e9utilisation du logiciel malveillant par plusieurs acteurs de la menace.<\/p>\n

“WIP19 est un exemple de la plus grande ampleur de l’activit\u00e9 d’espionnage chinoise exp\u00e9riment\u00e9e dans les industries d’infrastructures critiques”, ont d\u00e9clar\u00e9 les chercheurs de SentineOne.<\/p>\n

“L’existence d’intendants fiables et de d\u00e9veloppeurs communs permet un paysage de groupes de menaces difficiles \u00e0 identifier qui utilisent des outils similaires, ce qui rend les clusters de menaces difficiles \u00e0 distinguer du point de vue des d\u00e9fenseurs.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Les fournisseurs de services de t\u00e9l\u00e9communications et d’informatique au Moyen-Orient et en Asie sont cibl\u00e9s par un groupe de menaces de langue chinoise sans papiers, surnomm\u00e9 WIP19. Les attaques li\u00e9es \u00e0 l’espionnage se caract\u00e9risent par l’utilisation d’un certificat num\u00e9rique vol\u00e9 \u00e9mis par une soci\u00e9t\u00e9 cor\u00e9enne appel\u00e9e DEEPSoft pour signer les artefacts malveillants d\u00e9ploy\u00e9s au cours […]<\/p>\n","protected":false},"author":1,"featured_media":413803,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[5663,4175,4168,4158,4165,4161,77840,3555,681,8154,4157,4159,4171,4170,65,4167,4160,680,4163,4162,14696,4172,4169,3831,34776,4166,4164],"class_list":["post-413802","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-chinois","tag-ciblant","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-cyberespionnage","tag-fournisseurs","tag-groupe","tag-informatiques","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-les","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouveau","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-operateurs","tag-securite-informatique","tag-securite-internet","tag-services","tag-telecommunications","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/413802","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=413802"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/413802\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/413803"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=413802"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=413802"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=413802"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}