{"id":442393,"date":"2022-11-01T20:11:24","date_gmt":"2022-11-01T22:11:24","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-pirates-chinois-utilisent-une-nouvelle-chaine-dinfection-furtive-pour-deployer-le-logiciel-malveillant-lodeinfo\/"},"modified":"2022-11-01T20:11:26","modified_gmt":"2022-11-01T22:11:26","slug":"des-pirates-chinois-utilisent-une-nouvelle-chaine-dinfection-furtive-pour-deployer-le-logiciel-malveillant-lodeinfo","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-pirates-chinois-utilisent-une-nouvelle-chaine-dinfection-furtive-pour-deployer-le-logiciel-malveillant-lodeinfo\/","title":{"rendered":"Des pirates chinois utilisent une nouvelle cha\u00eene d’infection furtive pour d\u00e9ployer le logiciel malveillant LODEINFO"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

L’acteur mena\u00e7ant parrain\u00e9 par l’\u00c9tat chinois connu sous le nom de Panda de pierre<\/b> a \u00e9t\u00e9 observ\u00e9 employant une nouvelle cha\u00eene d’infection furtive dans ses attaques visant des entit\u00e9s japonaises.<\/p>\n

Les cibles comprennent les m\u00e9dias, les organisations diplomatiques, gouvernementales et du secteur public et les groupes de r\u00e9flexion au Japon, selon double<\/a> rapports<\/a> publi\u00e9 par Kaspersky.<\/p>\n

Panda de pierre<\/a>, \u00e9galement appel\u00e9 APT10, Bronze Riverside, Cicada et Potassium, est un groupe de cyberespionnage connu pour ses intrusions contre des organisations identifi\u00e9es comme strat\u00e9giquement importantes pour la Chine. L’acteur mena\u00e7ant serait actif depuis au moins 2009.<\/p>\n

La derni\u00e8re s\u00e9rie d’attaques, observ\u00e9e entre mars et juin 2022, implique l’utilisation d’un faux fichier Microsoft Word et d’un fichier d’archive auto-extractible (SFX) au format RAR propag\u00e9 via des e-mails de harponnage, conduisant \u00e0 l’ex\u00e9cution d’une porte d\u00e9rob\u00e9e appel\u00e9e LODEINFO.<\/p>\n

Alors que le maldoc oblige les utilisateurs \u00e0 activer les macros pour activer la killchain, la campagne de juin 2022 s’est av\u00e9r\u00e9e abandonner cette m\u00e9thode au profit d’un fichier SFX qui, lorsqu’il est ex\u00e9cut\u00e9, affiche un document Word leurre inoffensif pour dissimuler les activit\u00e9s malveillantes.<\/p>\n

\"\"<\/div>\n

La macro, une fois activ\u00e9e, d\u00e9pose une archive ZIP contenant deux fichiers, dont l’un (“NRTOLF.exe”) est un ex\u00e9cutable l\u00e9gitime du logiciel K7Security Suite qui est ensuite utilis\u00e9 pour charger une DLL malveillante (“K7SysMn1.dll”) via Chargement lat\u00e9ral de DLL<\/a>.<\/p>\n

Mis \u00e0 part l’abus de l’application de s\u00e9curit\u00e9, Kaspersky a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert en juin 2022 une autre m\u00e9thode d’infection initiale dans laquelle un fichier Microsoft Word prot\u00e9g\u00e9 par mot de passe agissait comme un conduit pour fournir un t\u00e9l\u00e9chargeur sans fichier appel\u00e9 DOWNIISSA lors de l’activation des macros.<\/p>\n

\"\"<\/div>\n

“La macro int\u00e9gr\u00e9e g\u00e9n\u00e8re le shellcode DOWNIISSA et l’injecte dans le processus actuel (WINWORD.exe)”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9.<\/p>\n

DOWNIISSA est configur\u00e9 pour communiquer avec un serveur distant cod\u00e9 en dur, l’utilisant pour r\u00e9cup\u00e9rer une charge utile BLOB chiffr\u00e9e de LODEINFO, une porte d\u00e9rob\u00e9e capable d’ex\u00e9cuter un shellcode arbitraire, de prendre des captures d’\u00e9cran et d’exfiltrer des fichiers vers le serveur.<\/p>\n

\"La<\/a><\/div>\n

Le malware, apparu pour la premi\u00e8re fois en 2019, a subi de nombreuses am\u00e9liorations, Kaspersky ayant identifi\u00e9 six versions diff\u00e9rentes en mars, avril, juin et septembre 2022.<\/p>\n

Les changements incluent des techniques d’\u00e9vasion am\u00e9lior\u00e9es pour voler sous le radar, arr\u00eatant l’ex\u00e9cution sur des machines avec le lieu<\/a> “en_US”, r\u00e9visant la liste des commandes prises en charge et \u00e9tendant la prise en charge de l’architecture Intel 64 bits.<\/p>\n

“Le malware LODEINFO est mis \u00e0 jour tr\u00e8s fr\u00e9quemment et continue de cibler activement les organisations japonaises”, ont conclu les chercheurs.<\/p>\n

“Les TTP mis \u00e0 jour et les am\u00e9liorations de LODEINFO et des logiciels malveillants associ\u00e9s […] indiquent que l’attaquant s’attache particuli\u00e8rement \u00e0 rendre la d\u00e9tection, l’analyse et l’investigation plus difficiles pour les chercheurs en s\u00e9curit\u00e9.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

L’acteur mena\u00e7ant parrain\u00e9 par l’\u00c9tat chinois connu sous le nom de Panda de pierre a \u00e9t\u00e9 observ\u00e9 employant une nouvelle cha\u00eene d’infection furtive dans ses attaques visant des entit\u00e9s japonaises. Les cibles comprennent les m\u00e9dias, les organisations diplomatiques, gouvernementales et du secteur public et les groupes de r\u00e9flexion au Japon, selon double rapports publi\u00e9 par […]<\/p>\n","protected":false},"author":1,"featured_media":442394,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[2953,5663,4168,4158,4165,4161,9886,133,35167,90729,4157,4159,4171,4170,121254,6816,4167,7733,4160,197,4163,4162,4394,185,4172,4169,196,10784,4166,4164],"class_list":["post-442393","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-chaine","tag-chinois","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-deployer","tag-des","tag-dinfection","tag-furtive","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-lodeinfo","tag-logiciel","tag-logiciel-malveillant-de-ransomware","tag-malveillant","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelle","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-pirates","tag-pour","tag-securite-informatique","tag-securite-internet","tag-une","tag-utilisent","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/442393","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=442393"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/442393\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/442394"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=442393"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=442393"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=442393"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}