Le groupe de menaces suivi comme REF2924<\/strong> a \u00e9t\u00e9 observ\u00e9 en train de d\u00e9ployer des logiciels malveillants in\u00e9dits dans ses attaques visant des entit\u00e9s en Asie du Sud et du Sud-Est.<\/p>\n Le malware, surnomm\u00e9 NAPLISTENER<\/a> par Elastic Security Labs, est un \u00e9couteur HTTP programm\u00e9 en C# et con\u00e7u pour \u00e9chapper aux “formes de d\u00e9tection bas\u00e9es sur le r\u00e9seau”.<\/p>\n REF2924 est le surnom attribu\u00e9 \u00e0 un groupe d’activit\u00e9s li\u00e9 \u00e0 des attaques contre une entit\u00e9 en Afghanistan ainsi qu’au bureau des affaires \u00e9trang\u00e8res d’un membre de l’ASEAN en 2022.<\/p>\n Le mode op\u00e9ratoire de l’acteur de la menace sugg\u00e8re des chevauchements avec un autre groupe de piratage surnomm\u00e9 ChamelGang, qui a \u00e9t\u00e9 document\u00e9 par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Positive Technologies en octobre 2021.<\/p>\n Les attaques orchestr\u00e9es par le groupe auraient exploit\u00e9 des serveurs Microsoft Exchange expos\u00e9s \u00e0 Internet pour d\u00e9ployer des portes d\u00e9rob\u00e9es<\/a> tels que DOORME, SIESTAGRAPH et ShadowPad.<\/p>\n DOORME, un module de porte d\u00e9rob\u00e9e des services d’information Internet (IIS), fournit un acc\u00e8s \u00e0 distance \u00e0 un r\u00e9seau contest\u00e9 et ex\u00e9cute des logiciels malveillants et des outils suppl\u00e9mentaires.<\/p>\n SIESTAGRAPH utilise Microsoft API graphique<\/a> pour la commande et le contr\u00f4le via Outlook et OneDrive, et est livr\u00e9 avec des capacit\u00e9s pour ex\u00e9cuter des commandes arbitraires via l’invite de commande, t\u00e9l\u00e9charger et t\u00e9l\u00e9charger des fichiers vers et depuis OneDrive, et prendre des captures d’\u00e9cran.<\/p>\n ShadowPad est une porte d\u00e9rob\u00e9e modulaire vendue en priv\u00e9 et un successeur<\/a> de PlugX<\/a>permettant aux pirates de maintenir un acc\u00e8s permanent aux ordinateurs compromis et d’ex\u00e9cuter des commandes shell et des charges utiles de suivi.<\/p>\n L’utilisation de ShadowPad est remarquable car elle indique un lien potentiel avec des groupes de piratage bas\u00e9s en Chine, qui sont connus pour utiliser le logiciel malveillant<\/a> dans diverses campagnes au fil des ans.<\/p>\n NAPLISTENER (“wmdtc.exe”), qui se fait passer pour un service l\u00e9gitime Microsoft Distributed Transaction Coordinator (“msdtc.exe”) dans une tentative de voler sous le radar et d’\u00e9tablir un acc\u00e8s persistant, s’ajoute \u00e0 cette liste d’arsenal de logiciels malveillants en expansion utilis\u00e9s par REF2924.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la mani\u00e8re de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n “NAPLISTENER cr\u00e9e un \u00e9couteur de requ\u00eate HTTP qui peut traiter les requ\u00eates entrantes d’Internet, lit toutes les donn\u00e9es soumises, les d\u00e9code \u00e0 partir du format Base64 et les ex\u00e9cute en m\u00e9moire”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Remco Sprooten.<\/p>\n L’analyse du code sugg\u00e8re que l’acteur de la menace emprunte ou r\u00e9utilise le code de projets open source h\u00e9berg\u00e9s sur GitHub pour d\u00e9velopper ses propres outils, signe que REF2924 pourrait activement perfectionner une s\u00e9rie de cyber-armes.<\/p>\n Les d\u00e9couvertes surviennent \u00e9galement alors qu’une organisation vietnamienne a \u00e9t\u00e9 cibl\u00e9e fin d\u00e9cembre 2022 par une porte d\u00e9rob\u00e9e Windows jusque-l\u00e0 inconnue, nomm\u00e9e PIP\u00c9DANCE<\/a> pour faciliter les activit\u00e9s post-compromis et de mouvement lat\u00e9ral, y compris Cobalt Strike.<\/p>\n <\/p>\n