L’acteur mena\u00e7ant connu sous le nom de Porte d\u00e9rob\u00e9eDiplomatie<\/strong> a \u00e9t\u00e9 li\u00e9e \u00e0 une nouvelle vague d’attaques visant des entit\u00e9s gouvernementales iraniennes entre juillet et fin d\u00e9cembre 2022.<\/p>\n Palo Alto Networks Unit 42, qui suit l’activit\u00e9 sous son sur le th\u00e8me des constellations<\/a> sobriquet Taureau joueur<\/strong>a d\u00e9clar\u00e9 avoir observ\u00e9 les domaines gouvernementaux tentant de se connecter \u00e0 une infrastructure de logiciels malveillants pr\u00e9c\u00e9demment identifi\u00e9e comme \u00e9tant associ\u00e9e \u00e0 l’adversaire.<\/p>\n Aussi connu sous les noms APT15, KeChang, NICKEL et Vixen Panda, le groupe chinois APT a une histoire de campagnes de cyberespionnage visant les entit\u00e9s gouvernementales et diplomatiques en Am\u00e9rique du Nord, en Am\u00e9rique du Sud, en Afrique et au Moyen-Orient au moins depuis 2010.<\/p>\n La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 ESET, en juin 2021, a d\u00e9ball\u00e9 les intrusions mont\u00e9es par une \u00e9quipe de piratage contre des entit\u00e9s diplomatiques et des entreprises de t\u00e9l\u00e9communications en Afrique et au Moyen-Orient \u00e0 l’aide d’un implant personnalis\u00e9 connu sous le nom de Turian.<\/p>\n Puis en d\u00e9cembre 2021, Microsoft a annonc\u00e9 la saisie de 42 domaines exploit\u00e9s par le groupe dans ses attaques ciblant 29 pays, tout en soulignant son utilisation d’exploits contre des syst\u00e8mes non corrig\u00e9s pour compromettre les applications Web accessibles sur Internet telles que Microsoft Exchange et SharePoint.<\/p>\n L’auteur de la menace a r\u00e9cemment \u00e9t\u00e9 attribu\u00e9 \u00e0 une attaque contre une soci\u00e9t\u00e9 de t\u00e9l\u00e9communications anonyme au Moyen-Orient utilisant Quarian, un pr\u00e9d\u00e9cesseur de Turian qui permet un point d’acc\u00e8s \u00e0 distance aux r\u00e9seaux cibl\u00e9s.<\/p>\n Turian “reste en d\u00e9veloppement actif et nous estimons qu’il est utilis\u00e9 exclusivement par les acteurs Playful Taurus”, Unit\u00e9 42 m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News, ajoutant qu’il avait d\u00e9couvert de nouvelles variantes de la porte d\u00e9rob\u00e9e utilis\u00e9e dans les attaques ciblant l’Iran.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a en outre not\u00e9 qu’elle avait observ\u00e9 quatre organisations iraniennes diff\u00e9rentes, dont le minist\u00e8re des Affaires \u00e9trang\u00e8res et l’Organisation des ressources naturelles, tendre la main \u00e0 un serveur de commande et de contr\u00f4le (C2) connu attribu\u00e9 au groupe.<\/p>\n “La nature quotidienne soutenue de ces connexions \u00e0 l’infrastructure contr\u00f4l\u00e9e de Playful Taurus sugg\u00e8re un compromis probable de ces r\u00e9seaux”, a-t-il d\u00e9clar\u00e9.<\/p>\n Les nouvelles versions de la porte d\u00e9rob\u00e9e Turian arborent une obfuscation suppl\u00e9mentaire ainsi qu’un algorithme de d\u00e9cryptage mis \u00e0 jour utilis\u00e9 pour extraire les serveurs C2. Cependant, le logiciel malveillant en lui-m\u00eame est g\u00e9n\u00e9rique en ce sens qu’il offre des fonctions de base pour mettre \u00e0 jour le serveur C2 pour se connecter, ex\u00e9cuter des commandes et g\u00e9n\u00e9rer des shells invers\u00e9s.<\/p>\n L’int\u00e9r\u00eat de BackdoorDiplomacy \u00e0 cibler l’Iran aurait des extensions g\u00e9opolitiques car il s’inscrit dans le contexte d’un accord global de 25 ans accord de coop\u00e9ration<\/a> sign\u00e9 entre la Chine et l’Iran pour favoriser la coop\u00e9ration \u00e9conomique, militaire et s\u00e9curitaire.<\/p>\n “Playful Taurus continue de faire \u00e9voluer ses tactiques et ses outils”, ont d\u00e9clar\u00e9 les chercheurs. “Les r\u00e9centes mises \u00e0 niveau de la porte d\u00e9rob\u00e9e Turian et de la nouvelle infrastructure C2 sugg\u00e8rent que ces acteurs continuent de conna\u00eetre du succ\u00e8s lors de leurs campagnes de cyberespionnage.”<\/p>\n <\/p>\n