{"id":632749,"date":"2023-03-02T06:45:43","date_gmt":"2023-03-02T08:45:43","guid":{"rendered":"https:\/\/teknomers.com\/fr\/le-logiciel-malveillant-sysupdate-frappe-a-nouveau-avec-la-version-linux-et-de-nouvelles-tactiques-devasion\/"},"modified":"2023-03-02T06:45:45","modified_gmt":"2023-03-02T08:45:45","slug":"le-logiciel-malveillant-sysupdate-frappe-a-nouveau-avec-la-version-linux-et-de-nouvelles-tactiques-devasion","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/le-logiciel-malveillant-sysupdate-frappe-a-nouveau-avec-la-version-linux-et-de-nouvelles-tactiques-devasion\/","title":{"rendered":"Le logiciel malveillant SysUpdate frappe \u00e0 nouveau avec la version Linux et de nouvelles tactiques d’\u00e9vasion"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>02 mars 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Linux\/Cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

L’acteur mena\u00e7ant connu sous le nom de Souris porte-bonheur<\/strong> a d\u00e9velopp\u00e9 une version Linux d’une bo\u00eete \u00e0 outils de logiciels malveillants appel\u00e9e SysUpdate, \u00e9largissant sa capacit\u00e9 \u00e0 cibler les appareils ex\u00e9cutant le syst\u00e8me d’exploitation.<\/p>\n

La version la plus ancienne de l’artefact mis \u00e0 jour remonte \u00e0 juillet 2022, le logiciel malveillant incorporant de nouvelles fonctionnalit\u00e9s con\u00e7ues pour \u00e9chapper aux logiciels de s\u00e9curit\u00e9 et r\u00e9sister \u00e0 l’ing\u00e9nierie inverse.<\/p>\n

Entreprise de cybers\u00e9curit\u00e9 Trend Micro a dit<\/a> il a observ\u00e9 la variante Windows \u00e9quivalente en juin 2022, pr\u00e8s d’un mois apr\u00e8s la mise en place de l’infrastructure de commande et de contr\u00f4le (C2).<\/p>\n

Lucky Mouse est \u00e9galement suivi sous les noms APT27, Bronze Union, Emissary Panda et Iron Tiger, et est connu pour utiliser une vari\u00e9t\u00e9 de logiciels malveillants tels que Mise \u00e0 jour syst\u00e8me<\/a>HyperBro, PlugX et une porte d\u00e9rob\u00e9e Linux appel\u00e9e rshell.<\/p>\n

Au cours des deux derni\u00e8res ann\u00e9es, les campagnes orchestr\u00e9es par le groupe de menaces ont adopt\u00e9 des compromis de la cha\u00eene d’approvisionnement d’applications l\u00e9gitimes comme Able Desktop et MiMi Chat pour obtenir un acc\u00e8s \u00e0 distance aux syst\u00e8mes compromis.<\/p>\n

En octobre 2022, Intrinsec d\u00e9taill\u00e9<\/a> une attaque contre une entreprise fran\u00e7aise qui a utilis\u00e9 les vuln\u00e9rabilit\u00e9s de ProxyLogon dans Microsoft Exchange Server pour fournir HyperBro dans le cadre d’une op\u00e9ration de plusieurs mois qui a exfiltr\u00e9 “des gigaoctets de donn\u00e9es”.<\/p>\n

Les cibles de la derni\u00e8re campagne incluent une soci\u00e9t\u00e9 de jeux aux Philippines, un secteur qui a \u00e9t\u00e9 attaqu\u00e9 \u00e0 plusieurs reprises par Iron Tiger depuis 2019.<\/p>\n

\"Logiciel<\/div>\n

Le vecteur d’infection exact utilis\u00e9 dans l’attaque n’est pas clair, mais des signes indiquent l’utilisation d’installateurs se faisant passer pour des applications de messagerie comme Youdu comme leurres pour activer la s\u00e9quence d’attaque.<\/p>\n

Quant \u00e0 la version Windows de SysUpdate, elle est livr\u00e9e avec des fonctionnalit\u00e9s pour g\u00e9rer les processus, prendre des captures d’\u00e9cran, effectuer des op\u00e9rations sur les fichiers et ex\u00e9cuter des commandes arbitraires. Il est \u00e9galement capable de communiquer avec les serveurs C2 via des requ\u00eates DNS TXT, une technique appel\u00e9e DNS Tunneling.<\/p>\n

Le d\u00e9veloppement marque \u00e9galement la premi\u00e8re fois qu’un acteur malveillant a \u00e9t\u00e9 d\u00e9tect\u00e9 en train de militariser une vuln\u00e9rabilit\u00e9 de chargement lat\u00e9ral dans un ex\u00e9cutable sign\u00e9 Wazuh pour d\u00e9ployer SysUpdate sur des machines Windows.<\/p>\n

Les exemples Linux ELF, \u00e9crits en C++, se distinguent par l’utilisation de la biblioth\u00e8que Asio pour porter les fonctions de gestion de fichiers, indiquant que l’adversaire cherche \u00e0 ajouter un support multiplateforme pour le malware.<\/p>\n

\u00c9tant donn\u00e9 que rshell est d\u00e9j\u00e0 capable de fonctionner sous Linux et macOS, la possibilit\u00e9 que SysUpdate puisse avoir une saveur macOS \u00e0 l’avenir ne peut \u00eatre \u00e9cart\u00e9e, a d\u00e9clar\u00e9 Trend Micro.<\/p>\n

Un autre outil \u00e0 noter est un r\u00e9cup\u00e9rateur de mots de passe et de cookies Chrome personnalis\u00e9, dot\u00e9 de fonctionnalit\u00e9s permettant de collecter les cookies et les mots de passe stock\u00e9s dans le navigateur Web.<\/p>\n

“Cette enqu\u00eate confirme qu’Iron Tiger met r\u00e9guli\u00e8rement \u00e0 jour ses outils pour ajouter de nouvelles fonctionnalit\u00e9s et probablement pour faciliter leur portabilit\u00e9 vers d’autres plates-formes”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Daniel Lunghi, ajoutant qu’elle “corrobore l’int\u00e9r\u00eat de cet acteur mena\u00e7ant pour l’industrie du jeu et la r\u00e9gion de l’Asie du Sud-Est. .”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n