Un acteur de cyberespionnage connu sous le nom de Tick a \u00e9t\u00e9 attribu\u00e9 avec une grande confiance \u00e0 un compromis d’une soci\u00e9t\u00e9 de pr\u00e9vention des pertes de donn\u00e9es (DLP) d’Asie de l’Est qui s’adresse aux entit\u00e9s gouvernementales et militaires.<\/p>\n
“Les attaquants ont compromis les serveurs de mise \u00e0 jour internes de la soci\u00e9t\u00e9 DLP pour fournir des logiciels malveillants \u00e0 l’int\u00e9rieur du r\u00e9seau du d\u00e9veloppeur de logiciels, et des installateurs troyens d’outils l\u00e9gitimes utilis\u00e9s par la soci\u00e9t\u00e9, ce qui a finalement abouti \u00e0 l’ex\u00e9cution de logiciels malveillants sur les ordinateurs des clients de la soci\u00e9t\u00e9”, a d\u00e9clar\u00e9 Facundo, chercheur chez ESET. Mu\u00f1oz a dit<\/a>.<\/p>\n Cocher<\/a>\u00e9galement connu sous le nom de Bronze Butler, Stalker Panda, CHEVALIER ROUGE<\/a>, et Stalker Taurus, est un collectif pr\u00e9sum\u00e9 align\u00e9 sur la Chine qui s’est principalement attaqu\u00e9 \u00e0 des entreprises gouvernementales, manufacturi\u00e8res et biotechnologiques au Japon. On dit qu’il est actif depuis au moins 2006<\/a>.<\/p>\n D’autres cibles moins connues sont les entreprises russes, singapouriennes et chinoises. Les cha\u00eenes d’attaque orchestr\u00e9es par le groupe ont g\u00e9n\u00e9ralement exploit\u00e9 les e-mails de harponnage et compromis strat\u00e9giques du web<\/a> comme point d’entr\u00e9e.<\/p>\n Fin f\u00e9vrier 2021, Tick est devenu l’un des acteurs de la menace pour capitaliser sur les failles de ProxyLogon dans Microsoft Exchange Server en tant que zero-day pour supprimer un Porte d\u00e9rob\u00e9e bas\u00e9e sur Delphi<\/a> dans une soci\u00e9t\u00e9 informatique sud-cor\u00e9enne.<\/p>\n \u00c0 peu pr\u00e8s au m\u00eame moment, le collectif contradictoire aurait eu acc\u00e8s au r\u00e9seau d’une soci\u00e9t\u00e9 de d\u00e9veloppement de logiciels d’Asie de l’Est par des moyens inconnus. Le nom de la soci\u00e9t\u00e9 n’a pas \u00e9t\u00e9 divulgu\u00e9.<\/p>\n Cela a \u00e9t\u00e9 suivi par le d\u00e9ploiement d’une version falsifi\u00e9e d’une application l\u00e9gitime appel\u00e9e Q-Dir pour supprimer une porte d\u00e9rob\u00e9e VBScript open source nomm\u00e9e ReVBShell<\/a>en plus d’un t\u00e9l\u00e9chargeur pr\u00e9c\u00e9demment non document\u00e9 nomm\u00e9 ShadowPy.<\/p>\n ShadowPy, comme son nom l’indique, est un t\u00e9l\u00e9chargeur Python charg\u00e9 d’ex\u00e9cuter un script Python r\u00e9cup\u00e9r\u00e9 sur un serveur distant.<\/p>\n Lors de l’intrusion, des variantes d’une porte d\u00e9rob\u00e9e Delphi appel\u00e9e Netboy<\/a> (alias Invader ou Kickesgo) qui est livr\u00e9 avec des capacit\u00e9s de collecte d’informations et de reverse shell ainsi qu’un autre t\u00e9l\u00e9chargeur nomm\u00e9 Ghostdown.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n “Pour maintenir un acc\u00e8s persistant, les attaquants ont d\u00e9ploy\u00e9 des DLL de chargeur malveillantes ainsi que des applications sign\u00e9es l\u00e9gitimes vuln\u00e9rables au d\u00e9tournement d’ordre de recherche de DLL”, a d\u00e9clar\u00e9 Mu\u00f1oz. “Le but de ces DLL est de d\u00e9coder et d’injecter une charge utile dans un processus d\u00e9sign\u00e9.”<\/p>\n Par la suite, en f\u00e9vrier et juin 2022, les installateurs Q-Dir troyens ont \u00e9t\u00e9 transf\u00e9r\u00e9s via des outils d’assistance \u00e0 distance tels que helpU et ANYSUPPORT \u00e0 deux des clients de l’entreprise, une soci\u00e9t\u00e9 d’ing\u00e9nierie et une soci\u00e9t\u00e9 de fabrication situ\u00e9es en Asie de l’Est.<\/p>\n La soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que l’objectif ici n’\u00e9tait pas d’effectuer une attaque de la cha\u00eene d’approvisionnement contre ses clients en aval, mais plut\u00f4t que l’installateur malveillant \u00e9tait utilis\u00e9 “sans le savoir” dans le cadre d’activit\u00e9s de support technique.<\/p>\n L’incident est \u00e9galement probablement li\u00e9 \u00e0 un autre cluster non attribu\u00e9 d\u00e9taill\u00e9<\/a> par AhnLab en mai 2022 qui impliquait l’utilisation de fichiers Microsoft Compiled HTML Help (.CHM) pour supprimer l’implant ReVBShell. <\/p>\n <\/p>\n![\"Soci\u00e9t\u00e9](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgDKaBLEzeZeesL6VeUQBDyjV0rHsLXEnmqjguGwgAC2IVYC5dE1KuftVSpuHPg1f-ZitOBC5zAFI4LuKoe_gYCyMcIOLYJyMJ4GDiJD18XoIxRVQNXPGzKHV1Nhdu5wYypOx2BO9xyjNPcOdi-27_wCBpysIvbDKqFUAzE5jaeJNpxBp8a01CgZ0IG\/s728-e3650\/hacking.png\" "\\"Soci\u00e9t\u00e9")
<\/div>\n![\"Soci\u00e9t\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1678872867_477_Tick-\u200b\u200bAPT-a-cible-les-clients-de-grande-valeur-de.png\" "\\"Soci\u00e9t\u00e9")
<\/div>\n