Un acteur pr\u00e9sum\u00e9 parrain\u00e9 par l’\u00c9tat chinois a viol\u00e9 une autorit\u00e9 de certification num\u00e9rique ainsi que des agences gouvernementales et de d\u00e9fense situ\u00e9es dans diff\u00e9rents pays d’Asie dans le cadre d’une campagne en cours depuis au moins mars 2022.<\/p>\n
Symantec, de Broadcom Software, a li\u00e9 les attaques \u00e0 un groupe d’adversaires qu’il suit sous le nom Billbug<\/strong>, citant l’utilisation d’outils pr\u00e9c\u00e9demment attribu\u00e9s \u00e0 cet acteur. L’activit\u00e9 semble \u00eatre motiv\u00e9e par l’espionnage et le vol de donn\u00e9es, bien qu’aucune donn\u00e9e n’ait \u00e9t\u00e9 vol\u00e9e \u00e0 ce jour.<\/p>\n Billbug<\/a>aussi appel\u00e9 Bronze Elgin, Lotus Blossom, Lotus Panda, Dragon du printemps<\/a>et Thrip<\/a>, est un groupe de menace persistante avanc\u00e9e (APT) qui est cens\u00e9 op\u00e9rer au nom des int\u00e9r\u00eats chinois. Les principales cibles sont les organisations gouvernementales et militaires en Asie du Sud-Est.<\/p>\n Les attaques mont\u00e9es par l’adversaire en 2019 impliquaient l’utilisation de portes d\u00e9rob\u00e9es comme Hannotog et Sagerunex<\/a>avec les intrusions observ\u00e9es \u00e0 Hong Kong, Macao, Indon\u00e9sie, Malaisie, Philippines et Vietnam.<\/p>\n Les deux implants sont con\u00e7us pour accorder un acc\u00e8s \u00e0 distance persistant au r\u00e9seau victime, m\u00eame si l’acteur de la menace est connu pour d\u00e9ployer un voleur d’informations connu sous le nom de Catchamas dans certains cas pour exfiltrer des informations sensibles.<\/p>\n “Le ciblage d’une autorit\u00e9 de certification est remarquable, car si les attaquants r\u00e9ussissaient \u00e0 la compromettre pour acc\u00e9der aux certificats, ils pourraient potentiellement les utiliser pour signer un logiciel malveillant avec un certificat valide et l’aider \u00e0 \u00e9viter la d\u00e9tection sur les machines victimes”, ont d\u00e9clar\u00e9 des chercheurs de Symantec. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Il pourrait \u00e9galement utiliser des certificats compromis pour intercepter le trafic HTTPS.”<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a toutefois not\u00e9 qu’il n’y avait aucune preuve indiquant que Billbug avait r\u00e9ussi \u00e0 compromettre les certificats num\u00e9riques. L’autorit\u00e9 concern\u00e9e, a-t-il ajout\u00e9, a \u00e9t\u00e9 inform\u00e9e de l’activit\u00e9.<\/p>\n Une analyse de la derni\u00e8re vague d’attaques indique que l’acc\u00e8s initial est probablement obtenu gr\u00e2ce \u00e0 l’exploitation d’applications accessibles sur Internet, apr\u00e8s quoi une combinaison d’outils sur mesure et vivant hors du terrain est utilis\u00e9e pour atteindre ses objectifs op\u00e9rationnels.<\/p>\n Cela comprend des utilitaires tels que WinRAR, Ping, Traceroute, NBTscan, Certutil, en plus d’une porte d\u00e9rob\u00e9e capable de t\u00e9l\u00e9charger des fichiers arbitraires, de collecter des informations syst\u00e8me et de t\u00e9l\u00e9charger des donn\u00e9es crypt\u00e9es.<\/p>\n![](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Le-service-de-phishing-de-Robin-Banks-pour-les-cybercriminels.gif\")
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/center><\/div>\n