L’acteur ax\u00e9 sur l’espionnage align\u00e9 sur la Chine, surnomm\u00e9 Winnti, a jet\u00e9 son d\u00e9volu sur les organisations gouvernementales de Hong Kong dans le cadre d’une campagne en cours baptis\u00e9e Op\u00e9ration CuckooBees<\/strong>.<\/p>\n Actif depuis au moins 2007, Winnti (alias APT41, Barium, Bronze Atlas et Wicked Panda) est le nom donn\u00e9 \u00e0 un groupe prolifique de cybermenaces qui m\u00e8ne des activit\u00e9s d’espionnage parrain\u00e9es par l’\u00c9tat chinois, visant principalement \u00e0 voler la propri\u00e9t\u00e9 intellectuelle d’organisations dans des pays d\u00e9velopp\u00e9s. \u00e9conomies.<\/p>\n Les campagnes de l’acteur mena\u00e7ant ont cibl\u00e9 les secteurs de la sant\u00e9, des t\u00e9l\u00e9communications, de la haute technologie, des m\u00e9dias, de l’agriculture et de l’\u00e9ducation, les cha\u00eenes d’infection reposant principalement sur des e-mails de harponnage avec pi\u00e8ces jointes pour p\u00e9n\u00e9trer initialement dans les r\u00e9seaux des victimes.<\/p>\n Plus t\u00f4t en mai, Cybereason a r\u00e9v\u00e9l\u00e9 des attaques de longue dur\u00e9e orchestr\u00e9es par le groupe depuis 2019 pour siphonner les secrets technologiques des entreprises technologiques et de fabrication principalement situ\u00e9es en Asie de l’Est, en Europe occidentale et en Am\u00e9rique du Nord.<\/p>\n On estime que les intrusions, matraqu\u00e9es sous le nom d’Op\u00e9ration CuckooBees, ont entra\u00een\u00e9 l’exfiltration de “centaines de gigaoctets d’informations”, a r\u00e9v\u00e9l\u00e9 la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9.<\/p>\n La derni\u00e8re activit\u00e9, selon le Symantec<\/a> L’\u00e9quipe Threat Hunter, qui fait partie de Broadcom Software, est une continuation de la campagne de vol de donn\u00e9es exclusive, mais avec un accent sur Hong Kong.<\/p>\n Les attaquants sont rest\u00e9s actifs sur certains des r\u00e9seaux compromis pendant un an, la soci\u00e9t\u00e9 a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News, ajoutant que les intrusions ont ouvert la voie au d\u00e9ploiement d’un chargeur de logiciels malveillants appel\u00e9 Espion<\/a>qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 pour la premi\u00e8re fois en mars 2021.<\/p>\n “[Spyder] est utilis\u00e9 pour des attaques cibl\u00e9es sur les syst\u00e8mes de stockage d’informations, la collecte d’informations sur les appareils corrompus, l’ex\u00e9cution de charges utiles malveillantes, la coordination de l’ex\u00e9cution de scripts et la communication du serveur C&C \u00bb, l’\u00e9quipe de recherche sur les menaces de SonicWall Capture Labs c’est not\u00e9<\/a> \u00e0 l’\u00e9poque.<\/p>\n Outre Spyder, d’autres outils de post-exploitation ont \u00e9galement \u00e9t\u00e9 d\u00e9ploy\u00e9s, tels que Mimikatz<\/a> et un module DLL zlib trojanis\u00e9 capable de recevoir des commandes d’un serveur distant ou de charger une charge utile arbitraire.<\/p>\n Symantec a d\u00e9clar\u00e9 qu’il n’avait observ\u00e9 la livraison d’aucun logiciel malveillant de phase finale, bien que les motifs de la campagne soient soup\u00e7onn\u00e9s d’\u00eatre li\u00e9s \u00e0 la collecte de renseignements bas\u00e9e sur des chevauchements tactiques avec des attaques pr\u00e9c\u00e9dentes.<\/p>\n “Le fait que cette campagne soit en cours depuis plusieurs ann\u00e9es, avec diff\u00e9rentes variantes du logiciel malveillant Spyder Loader d\u00e9ploy\u00e9es \u00e0 cette \u00e9poque, indique que les acteurs derri\u00e8re cette activit\u00e9 sont des adversaires persistants et cibl\u00e9s, capables d’effectuer des op\u00e9rations furtives sur les r\u00e9seaux victimes. sur une longue p\u00e9riode \u00bb, a d\u00e9clar\u00e9 Symantec.<\/p>\n Signe suppl\u00e9mentaire de la sophistication de Winnti, Malwarebytes d\u00e9couvert<\/a> une s\u00e9rie distincte d’attaques ciblant des entit\u00e9s gouvernementales au Sri Lanka d\u00e9but ao\u00fbt avec une nouvelle porte d\u00e9rob\u00e9e appel\u00e9e DBoxAgent qui exploite Dropbox pour le commandement et le contr\u00f4le.<\/p>\n “\u00c0 notre connaissance, Winnti (une APT soutenue par la Chine) cible le Sri Lanka pour la premi\u00e8re fois”, a d\u00e9clar\u00e9 l’\u00e9quipe de Malwarebytes Threat Intelligence.<\/p>\n La killchain se distingue \u00e9galement par l’utilisation d’une image ISO h\u00e9berg\u00e9e sur Google Drive qui pr\u00e9tend \u00eatre un document contenant des informations sur l’aide \u00e9conomique, indiquant une tentative de l’acteur de la menace de capitaliser sur le crise \u00e9conomique en cours<\/a> dans la nation.<\/p>\n Le lancement d’un fichier LNK contenu dans l’image ISO conduit \u00e0 l’ex\u00e9cution de l’implant DBoxAgent qui permet \u00e0 l’adversaire de r\u00e9quisitionner \u00e0 distance la machine et d’exporter des donn\u00e9es sensibles vers le service de stockage en nuage. Dropbox a depuis d\u00e9sactiv\u00e9 le compte escroc.<\/p>\n La porte d\u00e9rob\u00e9e agit en outre comme un conduit pour abandonner les outils d’exploitation qui ouvriraient la porte \u00e0 d’autres attaques et \u00e0 l’exfiltration de donn\u00e9es, y compris l’activation d’une s\u00e9quence d’infection en plusieurs \u00e9tapes qui aboutit \u00e0 l’utilisation d’une porte d\u00e9rob\u00e9e C++ avanc\u00e9e nomm\u00e9e KEYPLUG, qui a \u00e9t\u00e9 document\u00e9e par Mandiant de Google. en mars 2022.<\/p>\n Le d\u00e9veloppement marque la premi\u00e8re fois qu’APT41 a \u00e9t\u00e9 observ\u00e9 utilisant Dropbox \u00e0 des fins de C&C, illustrant l’utilisation croissante par les attaquants d’offres l\u00e9gitimes de logiciel en tant que service et de cloud pour h\u00e9berger du contenu malveillant.<\/p>\n “Winnti reste actif et son arsenal ne cesse de cro\u00eetre pour devenir l’un des groupes les plus sophistiqu\u00e9s de nos jours”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. “L’emplacement du Sri Lanka en Asie du Sud est strat\u00e9gique pour la Chine car il a un acc\u00e8s ouvert \u00e0 l’oc\u00e9an Indien et est proche de l’Inde.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\nWinnti cible des entit\u00e9s gouvernementales sri-lankaises<\/h3>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/Nouvelle-version-PHP-du-logiciel-malveillant-Ducktail-piratant-les-comptes.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666096192_354_Le-malware-chinois-Spyder-Loader-a-ete-repere-ciblant-des.jpg\")
<\/div>\n