Les organisations de recherche sur les mat\u00e9riaux en Asie ont \u00e9t\u00e9 cibl\u00e9es par un acteur malveillant jusque-l\u00e0 inconnu utilisant un ensemble d’outils distinct.<\/p>\n
Symantec, par Broadcom Software, suit le cluster sous le nom Clasiopa<\/strong>. Les origines du groupe de piratage et ses affiliations sont actuellement inconnues, mais il y a des indices qui sugg\u00e8rent que l’adversaire pourrait avoir des liens avec l’Inde.<\/p>\n Cela inclut les r\u00e9f\u00e9rences \u00e0 “SAPTARISHI-ATHARVAN-101” dans une porte d\u00e9rob\u00e9e personnalis\u00e9e et l’utilisation du mot de passe “iloveindea1998^_^” pour une archive ZIP.<\/p>\n Il vaut la peine de noter que Saptarishi<\/a>signifiant “Sept sages” en sanskrit, fait r\u00e9f\u00e9rence \u00e0 un groupe de voyants qui sont v\u00e9n\u00e9r\u00e9s dans la litt\u00e9rature hindoue. Atharvan<\/a> \u00e9tait un ancien pr\u00eatre hindou et est soup\u00e7onn\u00e9 d’avoir co-\u00e9crit l’un des quatre V\u00e9das<\/a>une collection d’\u00e9critures religieuses dans l’hindouisme.<\/p>\n “Bien que ces d\u00e9tails puissent sugg\u00e9rer que le groupe est bas\u00e9 en Inde, il est \u00e9galement fort probable que les informations aient \u00e9t\u00e9 plac\u00e9es sous de fausses banni\u00e8res, le mot de passe en particulier semblant \u00eatre un indice trop \u00e9vident”, a d\u00e9clar\u00e9 Symantec dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Les moyens exacts d’acc\u00e8s initial ne sont pas non plus clairs, bien que l’on soup\u00e7onne que les cyber-incursions profitent des attaques par force brute sur les serveurs connect\u00e9s \u00e0 Internet.<\/p>\n Certaines des principales caract\u00e9ristiques des intrusions impliquent la suppression du moniteur syst\u00e8me (Sysmon) et des journaux d’\u00e9v\u00e9nements, ainsi que le d\u00e9ploiement de plusieurs portes d\u00e9rob\u00e9es, telles qu’Atharvan et une version modifi\u00e9e du Lilith RAT open source, pour collecter et exfiltrer des informations sensibles.<\/p>\n Atharvan est en outre capable de contacter un serveur de commande et de contr\u00f4le (C&C) cod\u00e9 en dur pour r\u00e9cup\u00e9rer des fichiers et ex\u00e9cuter des ex\u00e9cutables arbitraires sur l’h\u00f4te infect\u00e9.<\/p>\n “Les adresses C&C cod\u00e9es en dur vues dans l’un des \u00e9chantillons analys\u00e9s \u00e0 ce jour concernaient la r\u00e9gion Amazon AWS Cor\u00e9e du Sud (S\u00e9oul), qui n’est pas un emplacement courant pour l’infrastructure C&C”, a soulign\u00e9 la soci\u00e9t\u00e9.<\/p>\n La divulgation intervient un jour apr\u00e8s que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9voil\u00e9 un autre groupe de menaces jusqu’ici non document\u00e9, connu sous le nom d’Hydrochasma, qui a \u00e9t\u00e9 observ\u00e9 ciblant des compagnies maritimes et des laboratoires m\u00e9dicaux en Asie.<\/p>\n <\/p>\n