Microsoft a attribu\u00e9 lundi \u00e0 un acteur du cyberespionnage bas\u00e9 en Chine une s\u00e9rie d’attaques visant des entit\u00e9s diplomatiques en Am\u00e9rique du Sud.<\/p>\n
L’\u00e9quipe de renseignement de s\u00e9curit\u00e9 du g\u00e9ant de la technologie suit le cluster sous le surnom \u00e9mergent DEV-0147<\/strong>, d\u00e9crivant<\/a> l’activit\u00e9 comme une “expansion des op\u00e9rations d’exfiltration de donn\u00e9es du groupe qui ciblaient traditionnellement les agences gouvernementales et les groupes de r\u00e9flexion en Asie et en Europe”.<\/p>\n On dit que l’acteur de la menace utilise des outils de piratage \u00e9tablis tels que ShadowPad pour infiltrer les cibles et maintenir un acc\u00e8s persistant.<\/p>\n ShadowPad, \u00e9galement appel\u00e9 PoisonPlug, est un successeur du cheval de Troie d’acc\u00e8s \u00e0 distance PlugX et a \u00e9t\u00e9 largement utilis\u00e9 par les collectifs adversaires chinois ayant des liens avec le minist\u00e8re de la S\u00e9curit\u00e9 d’\u00c9tat (MSS) et l’Arm\u00e9e populaire de lib\u00e9ration (PLA), selon Secureworks.<\/p>\n L’un des autres outils malveillants utilis\u00e9s par DEV-0147 est un chargeur Webpack appel\u00e9 QuasarLoader<\/b>ce qui permet de d\u00e9ployer des charges utiles suppl\u00e9mentaires sur les h\u00f4tes compromis.<\/p>\n Redmond n’a pas divulgu\u00e9 la m\u00e9thode que DEV-0147 pourrait utiliser pour obtenir un acc\u00e8s initial \u00e0 un environnement cible. Cela dit, le phishing et le ciblage opportuniste des applications non corrig\u00e9es sont les vecteurs probables.<\/p>\n “Les attaques de DEV-0147 en Am\u00e9rique du Sud comprenaient des activit\u00e9s de post-exploitation impliquant l’abus de l’infrastructure d’identit\u00e9 sur site pour la reconnaissance et les mouvements lat\u00e9raux, et l’utilisation de Cobalt Strike pour le commandement et le contr\u00f4le et l’exfiltration de donn\u00e9es”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n DEV-0147 est loin d’\u00eatre la seule menace persistante avanc\u00e9e (APT) bas\u00e9e en Chine \u00e0 tirer parti de ShadowPad ces derniers mois.<\/p>\n En septembre 2022, NCC Group d\u00e9terr\u00e9<\/a> d\u00e9tails d’une attaque visant une organisation anonyme qui a abus\u00e9 d’une faille critique dans WSO2 (CVE-2022-29464<\/a>score CVSS : 9,8) pour supprimer les shells Web et activer une cha\u00eene d’infection qui a conduit \u00e0 la livraison de ShadowPad pour la collecte de renseignements.<\/p>\n ShadowPad a \u00e9galement \u00e9t\u00e9 employ\u00e9<\/a> par des acteurs mena\u00e7ants non identifi\u00e9s lors d’une attaque visant un minist\u00e8re des Affaires \u00e9trang\u00e8res membre de l’ASEAN via le exploitation r\u00e9ussie<\/a> d’un serveur Microsoft Exchange vuln\u00e9rable et connect\u00e9 \u00e0 Internet.<\/p>\n Il a \u00e9t\u00e9 observ\u00e9 que l’activit\u00e9, baptis\u00e9e REF2924 par Elastic Security Labs, partage des associations tactiques avec celles adopt\u00e9es par d’autres groupes d’\u00c9tats-nations tels que Winnti (alias APT41) et ChamelGang.<\/p>\n “Le kit d’intrusion REF2924 […] repr\u00e9sente un groupe d’attaque qui semble concentr\u00e9 sur des priorit\u00e9s qui, lorsqu’elles sont observ\u00e9es \u00e0 travers les campagnes, s’alignent sur un int\u00e9r\u00eat strat\u00e9gique national parrain\u00e9 \u00bb, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n Le fait que les groupes de piratage chinois continuent d’utiliser ShadowPad bien qu’il soit bien document\u00e9 au fil des ans sugg\u00e8re que la technique donne un certain succ\u00e8s.<\/p>\n <\/p>\n![\"ShadowPad\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/Des-pirates-chinois-ciblant-des-entites-diplomatiques-sud-americaines-avec-ShadowPad.png\" "\\"ShadowPad\\"\/")
<\/div>\n