Une campagne malveillante ciblant le Moyen-Orient est probablement li\u00e9e \u00e0 Porte d\u00e9rob\u00e9eDiplomatie<\/strong>un groupe APT (Advanced Persistent Threat) li\u00e9 \u00e0 la Chine.<\/p>\n L’activit\u00e9 d’espionnage, dirig\u00e9e contre une entreprise de t\u00e9l\u00e9communications de la r\u00e9gion, aurait commenc\u00e9 le 19 ao\u00fbt 2021 gr\u00e2ce \u00e0 l’exploitation r\u00e9ussie des failles ProxyShell dans Microsoft Exchange Server.<\/p>\n Le compromis initial a exploit\u00e9 les binaires vuln\u00e9rables aux techniques de chargement lat\u00e9ral, suivi de l’utilisation d’un m\u00e9lange d’outils l\u00e9gitimes et sur mesure pour effectuer une reconnaissance, r\u00e9colter des donn\u00e9es, se d\u00e9placer lat\u00e9ralement dans l’environnement et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n “Les attributs des fichiers des outils malveillants ont montr\u00e9 que les premiers outils d\u00e9ploy\u00e9s par les acteurs de la menace \u00e9taient l’outil proxy NPS et la porte d\u00e9rob\u00e9e IRAFAU”, ont d\u00e9clar\u00e9 les chercheurs de Bitdefender Victor Vrabie et Adrian Schipor dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n “\u00c0 partir de f\u00e9vrier 2022, les acteurs de la menace ont utilis\u00e9 un autre outil – [the] La porte d\u00e9rob\u00e9e Quarian, ainsi que de nombreux autres scanners et outils de proxy\/tunneling.” <\/p>\n BackdoorDiplomacy a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par ESET en juin 2021, les intrusions visant principalement les entit\u00e9s diplomatiques et les entreprises de t\u00e9l\u00e9communications en Afrique et au Moyen-Orient pour d\u00e9ployer Quarian (alias Turian ou Whitebird).<\/p>\n Les motifs d’espionnage de l’attaque sont mis en \u00e9vidence par l’utilisation d’enregistreurs de frappe et de scripts PowerShell con\u00e7us pour collecter le contenu des e-mails. IRAFAU, qui est le premier composant malveillant livr\u00e9 apr\u00e8s avoir pris pied, est utilis\u00e9 pour effectuer la d\u00e9couverte d’informations et le mouvement lat\u00e9ral.<\/p>\n Ceci est facilit\u00e9 par le t\u00e9l\u00e9chargement et le chargement de fichiers depuis et vers un serveur de commande et de contr\u00f4le (C2), le lancement d’un shell distant et l’ex\u00e9cution de fichiers arbitraires.<\/p>\n La deuxi\u00e8me porte d\u00e9rob\u00e9e utilis\u00e9e dans l’op\u00e9ration est une version mise \u00e0 jour de Quarian, qui comprend un ensemble plus large de fonctionnalit\u00e9s pour contr\u00f4ler l’h\u00f4te compromis.<\/p>\n Un outil appel\u00e9 Impersoni-fake-ator est \u00e9galement utilis\u00e9, int\u00e9gr\u00e9 \u00e0 des utilitaires l\u00e9gitimes tels que DebugView<\/a> et Putty et est con\u00e7u pour capturer les m\u00e9tadonn\u00e9es du syst\u00e8me et ex\u00e9cuter une charge utile d\u00e9chiffr\u00e9e re\u00e7ue du serveur C2.<\/p>\n L’intrusion se caract\u00e9rise en outre par l’utilisation de logiciels open source tels que \u00c0Rat<\/a>un outil d’administration \u00e0 distance Golang, et AsyncRAT<\/a>ce dernier \u00e9tant probablement supprim\u00e9 via Quarian.<\/p>\n L’attribution de l’attaque par Bitdefender \u00e0 BackdoorDiplomacy provient de chevauchements dans l’infrastructure C2 identifi\u00e9e comme utilis\u00e9e par le groupe lors de campagnes pr\u00e9c\u00e9dentes.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"Derni\u00e8res](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/Les-pirates-chinois-ciblent-les-telecoms-du-Moyen-Orient-dans-les.png\" "\\"Derni\u00e8res")
<\/div>\n