L’acteur de Mustang Panda, align\u00e9 sur la Chine, a \u00e9t\u00e9 observ\u00e9 en train d’utiliser une porte d\u00e9rob\u00e9e personnalis\u00e9e in\u00e9dite appel\u00e9e MQsTTang<\/strong> dans le cadre d’une campagne d’ing\u00e9nierie sociale en cours qui a d\u00e9but\u00e9 en janvier 2023.<\/p>\n “Contrairement \u00e0 la plupart des logiciels malveillants du groupe, MQsTTang ne semble pas \u00eatre bas\u00e9 sur des familles existantes ou des projets accessibles au public”, a d\u00e9clar\u00e9 Alexandre C\u00f4t\u00e9 Cyr, chercheur chez ESET. a dit<\/a> dans un nouveau rapport.<\/p>\n Les cha\u00eenes d’attaques orchestr\u00e9es par le groupe ont intensifi\u00e9 le ciblage des entit\u00e9s europ\u00e9ennes \u00e0 la suite de l’invasion \u00e0 grande \u00e9chelle de l’Ukraine par la Russie l’ann\u00e9e derni\u00e8re. La victimologie de l’activit\u00e9 actuelle n’est pas claire, mais la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les noms de fichiers leurres sont conformes aux campagnes pr\u00e9c\u00e9dentes du groupe qui ciblaient les organisations politiques europ\u00e9ennes.<\/p>\n Cela dit, ESET a \u00e9galement observ\u00e9 des attaques contre des entit\u00e9s inconnues en Bulgarie et en Australie, ainsi qu’une institution gouvernementale \u00e0 Ta\u00efwan, indiquant une concentration sur l’Europe et l’Asie.<\/p>\n Mustang Panda a l’habitude d’utiliser un cheval de Troie d’acc\u00e8s \u00e0 distance<\/a> surnomm\u00e9 PlugX pour avoir atteint ses objectifs, bien que de r\u00e9centes intrusions aient vu le groupe \u00e9tendre son arsenal de logiciels malveillants pour inclure des outils personnalis\u00e9s tels que TONEINS, TONESHELL et PUBLOAD.<\/p>\n En d\u00e9cembre 2022, Avast divulgu\u00e9<\/a> une autre s\u00e9rie d’attaques visant des agences gouvernementales et des ONG politiques au Myanmar qui ont conduit \u00e0 l’exfiltration de donn\u00e9es sensibles, y compris des vidages de courrier \u00e9lectronique, des fichiers, des audiences judiciaires, des rapports d’interrogatoire et des transcriptions de r\u00e9unions, \u00e0 l’aide d’une variante PlugX appel\u00e9e Hodur et d’un utilitaire de t\u00e9l\u00e9chargement Google Drive .<\/p>\n De plus, un serveur FTP li\u00e9 \u00e0 l’auteur de la menace s’est av\u00e9r\u00e9 h\u00e9berger une vari\u00e9t\u00e9 d’outils auparavant non document\u00e9s utilis\u00e9s pour distribuer des logiciels malveillants aux appareils infect\u00e9s, y compris un cheval de Troie bas\u00e9 sur Go appel\u00e9 JSX et une porte d\u00e9rob\u00e9e sophistiqu\u00e9e appel\u00e9e HT3.<\/p>\n Le d\u00e9veloppement de MQsTTang indique une poursuite de cette tendance, m\u00eame s’il s’agit d’une porte d\u00e9rob\u00e9e “barebones” en une seule \u00e9tape sans aucune technique d’obscurcissement permettant d’ex\u00e9cuter des commandes arbitraires re\u00e7ues d’un serveur distant.<\/p>\n v<\/p>\n Cependant, un aspect inhabituel de l’implant est l’utilisation d’un protocole de messagerie IoT appel\u00e9 MQTT<\/a> pour les communications de commande et de contr\u00f4le (C2), qui sont r\u00e9alis\u00e9es \u00e0 l’aide d’une biblioth\u00e8que open source appel\u00e9e QMQTT<\/a>un client MQTT pour le Qt<\/a> cadre d’application multiplateforme.<\/p>\n Le vecteur d’intrusion initial pour les attaques est le spear-phishing, avec MQTT distribu\u00e9 via des archives RAR contenant un seul ex\u00e9cutable qui comporte des noms de fichiers avec des th\u00e8mes diplomatiques (par exemple, “PDF_Passport et CV des membres diplomatiques de Tokyo de JAPAN.eXE”).<\/p>\n “Cette nouvelle porte d\u00e9rob\u00e9e MQsTTang fournit une sorte de shell distant sans les cloches et les sifflets associ\u00e9s aux autres familles de logiciels malveillants du groupe”, a d\u00e9clar\u00e9 C\u00f4t\u00e9 Cyr. “Cependant, cela montre que Mustang Panda explore de nouvelles piles technologiques pour ses outils.”<\/p>\n <\/p>\n![\"Porte](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1677839091_312_Des-pirates-chinois-ciblant-des-entites-europeennes-avec-la-nouvelle.png\" "\\"Porte")
<\/div>\n