Des entit\u00e9s situ\u00e9es en Asie de l’Est et du Sud-Est ainsi qu’en Ukraine sont cibl\u00e9es au moins depuis 2020 par un sous-groupe auparavant non document\u00e9 d’APT41, une menace persistante avanc\u00e9e (APT) chinoise prolifique.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro, qui baptis\u00e9<\/a> l’\u00e9quipe d’espionnage Terre Longzhi<\/strong>a d\u00e9clar\u00e9 que la longue campagne de l’acteur peut \u00eatre divis\u00e9e en deux en fonction de l’ensemble d’outils d\u00e9ploy\u00e9s pour attaquer ses victimes.<\/p>\n La premi\u00e8re vague de mai 2020 \u00e0 f\u00e9vrier 2021 aurait cibl\u00e9 les industries gouvernementales, des infrastructures et de la sant\u00e9 \u00e0 Ta\u00efwan et le secteur bancaire en Chine, tandis que la s\u00e9rie d’intrusions successives d’ao\u00fbt 2021 \u00e0 juin 2022 a infiltr\u00e9 des victimes tr\u00e8s m\u00e9diatis\u00e9es en Ukraine et plusieurs pays d’Asie.<\/p>\n Cela comprenait les industries de la d\u00e9fense, de l’aviation, des assurances et du d\u00e9veloppement urbain \u00e0 Ta\u00efwan, en Chine, en Tha\u00eflande, en Malaisie, en Indon\u00e9sie, au Pakistan et en Ukraine.<\/p>\n Les mod\u00e8les de victimologie et les secteurs cibl\u00e9s se chevauchent avec les attaques mont\u00e9es par un groupe s\u0153ur distinct d’APT41 (alias Winnti) connu sous le nom de Earth Baku, a ajout\u00e9 la soci\u00e9t\u00e9 japonaise de cybers\u00e9curit\u00e9.<\/p>\n Certaines des cyberactivit\u00e9s malveillantes de Earth Baku ont \u00e9t\u00e9 li\u00e9es \u00e0 des groupes appel\u00e9s par d’autres soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9 ESET et Symantec sous les noms de SparklingGoblin et Grayfly, respectivement.<\/p>\n “Les tactiques, techniques et proc\u00e9dures (TTP) de SparklingGoblin se chevauchent partiellement avec les TTP APT41”, a pr\u00e9c\u00e9demment d\u00e9clar\u00e9 Mathieu Tartare, chercheur \u00e0 ESET, \u00e0 The Hacker News. “La d\u00e9finition de Grayfly donn\u00e9e par Symantec semble (au moins partiellement) se chevaucher avec SparklingGoblin.”<\/p>\n Maintenant, Earth Longzhi ajoute une autre pi\u00e8ce au puzzle d’attaque APT41, avec l’acteur partageant \u00e9galement des liens vers un troisi\u00e8me sous-groupe surnomm\u00e9 GroupeCC<\/a> (alias APT17, Aurora Panda ou Bronze Keystone).<\/p>\n Les attaques orchestr\u00e9es par le groupe de pirates utilisent les e-mails de harponnage comme vecteur d’entr\u00e9e initial. Ces messages sont connus pour int\u00e9grer des archives prot\u00e9g\u00e9es par mot de passe ou des liens vers des fichiers h\u00e9berg\u00e9s sur Google Drive qui, une fois ouverts, lancent un chargeur Cobalt Strike appel\u00e9 CroxLoader.<\/p>\n Dans certains cas, le groupe a \u00e9t\u00e9 observ\u00e9 en train de militariser des failles d’ex\u00e9cution de code \u00e0 distance dans des applications expos\u00e9es publiquement pour fournir un shell Web capable de supprimer un chargeur de niveau sup\u00e9rieur appel\u00e9 Symatic, con\u00e7u pour d\u00e9ployer Cobalt Strike.<\/p>\n Un “outil tout-en-un” est \u00e9galement utilis\u00e9 dans le cadre de ses activit\u00e9s de post-exploitation, qui combine plusieurs fonctions accessibles au public et personnalis\u00e9es dans un seul package et qui serait disponible depuis septembre 2014.<\/p>\n La deuxi\u00e8me s\u00e9rie d’attaques lanc\u00e9es par Earth Longzhi suit un sch\u00e9ma similaire, la principale diff\u00e9rence \u00e9tant l’utilisation de diff\u00e9rents chargeurs Cobalt Strike nomm\u00e9s CroxLoader, BigpipeLoader et OutLoader pour supprimer le cadre de l’\u00e9quipe rouge sur les h\u00f4tes infect\u00e9s.<\/p>\n Les attaques r\u00e9centes se distinguent en outre par l’utilisation d’outils sur mesure qui peuvent d\u00e9sactiver les logiciels de s\u00e9curit\u00e9, vider les informations d’identification \u00e0 l’aide d’une version modifi\u00e9e de Mimikatz et tirer parti des failles du composant Windows Print Spooler (c’est-\u00e0-dire PrintNightmare) pour \u00e9lever les privil\u00e8ges.<\/p>\n De plus, la neutralisation des solutions de s\u00e9curit\u00e9 install\u00e9es est effectu\u00e9e par une m\u00e9thode appel\u00e9e apportez votre propre pilote vuln\u00e9rable (BYOVD), qui implique l’exploitation d’une faille connue dans le pilote RTCore64.sys (CVE-2019-16098<\/a>).<\/p>\n Ceci est effectu\u00e9 \u00e0 l’aide de ProcBurner, un outil permettant de tuer des processus en cours d’ex\u00e9cution sp\u00e9cifiques, tandis qu’un autre logiciel malveillant personnalis\u00e9 appel\u00e9 AVBurner est utilis\u00e9 pour d\u00e9sinscrire le syst\u00e8me de d\u00e9tection et de r\u00e9ponse des points de terminaison (EDR) en supprimant les rappels de cr\u00e9ation de processus – un m\u00e9canisme qui \u00e9tait d\u00e9taill\u00e9<\/a> par un chercheur en s\u00e9curit\u00e9 qui s’appelle brsn en ao\u00fbt 2020.<\/p>\n Il convient de noter que la version obsol\u00e8te du pilote RTCore64.sys, qui a toujours une signature num\u00e9rique valide, a \u00e9t\u00e9 utilis\u00e9e par plusieurs acteurs de la menace comme BlackByte et OldGremlin au cours des derniers mois.<\/p>\n “[Earth Longzhi’s] les secteurs cibles sont dans les industries pertinentes pour la s\u00e9curit\u00e9 nationale et les \u00e9conomies des pays d’Asie-Pacifique \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Les activit\u00e9s de ces campagnes montrent que le groupe est bien inform\u00e9 sur les op\u00e9rations de l’\u00e9quipe rouge.<\/p>\n “Le groupe utilise des techniques d’ing\u00e9nierie sociale pour diffuser ses logiciels malveillants et d\u00e9ployer des outils de piratage personnalis\u00e9s pour contourner la protection des produits de s\u00e9curit\u00e9 et voler les donn\u00e9es sensibles des machines compromises.”<\/p>\n <\/p>\n<\/div>\n![\"Frappe](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668439190_989_Nouveau-quotTerre-Longzhiquot-APT-cible-lUkraine-et-les-pays-asiatiques.jpg\" "\\"Frappe")
<\/div>\n![\"Frappe](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668439190_339_Nouveau-quotTerre-Longzhiquot-APT-cible-lUkraine-et-les-pays-asiatiques.jpg\" "\\"Frappe")
<\/div>\n![](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Le-service-de-phishing-de-Robin-Banks-pour-les-cybercriminels.gif\")
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663940313_323_Des-chercheurs-decouvrent-le-nouveau-Metador-APT-ciblant-les-operateurs.png\")
<\/a><\/center><\/div>\n