Un acteur de menace persistante avanc\u00e9e notoire connu sous le nom de Panda mustang<\/strong> a \u00e9t\u00e9 li\u00e9e \u00e0 une s\u00e9rie d’attaques de harponnage ciblant les secteurs gouvernementaux, de l’\u00e9ducation et de la recherche \u00e0 travers le monde.<\/p>\n Les principales cibles des intrusions de mai \u00e0 octobre 2022 comprenaient des comt\u00e9s de la r\u00e9gion Asie-Pacifique tels que le Myanmar, l’Australie, les Philippines, le Japon et Ta\u00efwan, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro a dit<\/a> dans un rapport de vendredi. <\/p>\n Mustang Panda, \u00e9galement appel\u00e9 Bronze President, Earth Preta, HoneyMyte et Red Lich, est un acteur d’espionnage bas\u00e9 en Chine qui serait actif depuis au moins juillet 2018. Le groupe est connu pour son utilisation de logiciels malveillants tels que China Chopper et PlugX pour collecter des donn\u00e9es \u00e0 partir d’environnements compromis.<\/p>\n Les activit\u00e9s du groupe relat\u00e9es par ESET, Google, Proofpoint, Cisco Talos et Secureworks cette ann\u00e9e ont r\u00e9v\u00e9l\u00e9 le sch\u00e9ma d’utilisation de PlugX (et de sa variante appel\u00e9e Hodur) par l’acteur mena\u00e7ant pour infecter un large \u00e9ventail d’entit\u00e9s en Asie, en Europe et au Moyen-Orient. , et les Am\u00e9riques.<\/p>\n Les derni\u00e8res d\u00e9couvertes de Trend Micro montrent que Mustang Panda continue de faire \u00e9voluer ses tactiques dans une strat\u00e9gie visant \u00e0 \u00e9chapper \u00e0 la d\u00e9tection et \u00e0 adopter des routines d’infection qui conduisent au d\u00e9ploiement de familles de logiciels malveillants sur mesure comme TONEINS, TONESHELL et PUBLOAD.<\/p>\n “Earth\u00a0Preta a abus\u00e9 de faux comptes Google pour distribuer le logiciel malveillant via des e-mails de harponnage, initialement stock\u00e9s dans un fichier d’archive (tel que RAR\/ZIP\/JAR) et distribu\u00e9s via des liens Google\u00a0Drive”, ont d\u00e9clar\u00e9 les chercheurs Nick Dai, Vickie Su et Sunny Lu. a dit.<\/p>\n L’acc\u00e8s initial est facilit\u00e9 par des documents leurres qui couvrent des th\u00e8mes g\u00e9opolitiques controvers\u00e9s pour inciter les organisations cibl\u00e9es \u00e0 t\u00e9l\u00e9charger et \u00e0 d\u00e9clencher le logiciel malveillant. <\/p>\n Dans certains cas, les messages de phishing ont \u00e9t\u00e9 envoy\u00e9s \u00e0 partir de comptes de messagerie pr\u00e9c\u00e9demment compromis appartenant \u00e0 des entit\u00e9s sp\u00e9cifiques, indiquant les efforts entrepris par l’acteur de Mustang Panda pour augmenter la probabilit\u00e9 de succ\u00e8s de ses campagnes.<\/p>\n Les fichiers d’archives, lorsqu’ils sont ouverts, sont con\u00e7us pour afficher un document leurre \u00e0 la victime, tout en chargeant furtivement le logiciel malveillant en arri\u00e8re-plan via une m\u00e9thode appel\u00e9e Chargement lat\u00e9ral de DLL<\/a>.<\/p>\n Les cha\u00eenes d’attaque conduisent finalement \u00e0 la livraison de trois familles de logiciels malveillants – PUBLOAD, TONEINS et TONESHELL – qui sont capables de t\u00e9l\u00e9charger des charges utiles de niveau sup\u00e9rieur et de voler sous le radar.<\/p>\n TONESHELL, la principale porte d\u00e9rob\u00e9e utilis\u00e9e dans les attaques, est install\u00e9e via TONEINS et est un chargeur de shellcode, avec une premi\u00e8re version de l’implant d\u00e9tect\u00e9e en septembre 2021, sugg\u00e9rant des efforts continus de la part de l’acteur mena\u00e7ant pour mettre \u00e0 jour son arsenal.<\/p>\n “Earth Preta est un groupe de cyberespionnage connu pour d\u00e9velopper ses propres chargeurs en combinaison avec des outils existants comme PlugX et Cobalt Strike pour le compromis”, ont conclu les chercheurs.<\/p>\n “Une fois que le groupe a infiltr\u00e9 les syst\u00e8mes d’une victime cibl\u00e9e, les documents sensibles vol\u00e9s peuvent \u00eatre utilis\u00e9s \u00e0 mauvais escient comme vecteurs d’entr\u00e9e pour la prochaine vague d’intrusions. Cette strat\u00e9gie \u00e9largit consid\u00e9rablement la port\u00e9e affect\u00e9e dans la r\u00e9gion concern\u00e9e.”<\/p>\n <\/p>\n<\/div>\n![\"Panda](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEix16dM1Y7zs1_lTZ2I23T8A-px9_VXmTiXycQ1baVE8luwwzOr78lgThISyJBKLpgEQaDMp65PR8Ml-LQuAPsV5GOKaMDvg1LXbrbQcw-199pVpTNlhUEMmBk-IOi9mnvKY37l4adXLJtgcSfCWF9K5Da_Ul-WvqAa_KT-vOUlnMp7nLhpd_DhGeTy\/s728-e1000\/map.png\" "\\"Panda")
<\/div>\n