Un groupe d’activit\u00e9s de menace parrain\u00e9 par l’\u00c9tat chinois suivi comme RougeGolf<\/strong> a \u00e9t\u00e9 attribu\u00e9<\/a> \u00e0 l’utilisation d’une porte d\u00e9rob\u00e9e Windows et Linux personnalis\u00e9e appel\u00e9e KEYPLUG.<\/p>\n “RedGolf est un groupe d’acteurs mena\u00e7ants parrain\u00e9 par l’\u00c9tat chinois particuli\u00e8rement prolifique qui est probablement actif depuis de nombreuses ann\u00e9es contre un large \u00e9ventail d’industries dans le monde”, a d\u00e9clar\u00e9 Recorded Future \u00e0 The Hacker News.<\/p>\n “Le groupe a montr\u00e9 sa capacit\u00e9 \u00e0 militariser rapidement vuln\u00e9rabilit\u00e9s nouvellement signal\u00e9es<\/a> (par exemple Log4Shell et ProxyLogon) et a une histoire de d\u00e9veloppement et d’utilisation d’une large gamme de familles de logiciels malveillants personnalis\u00e9s.”<\/p>\n L’utilisation de KEYPLUG par des acteurs chinois de la menace a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois par Manidant, propri\u00e9t\u00e9 de Google, en mars 2022 lors d’attaques ciblant plusieurs r\u00e9seaux gouvernementaux am\u00e9ricains entre mai 2021 et f\u00e9vrier 2022.<\/p>\n Puis, en octobre 2022, Malwarebytes a d\u00e9taill\u00e9 d\u00e9but ao\u00fbt un ensemble distinct d’attaques ciblant des entit\u00e9s gouvernementales au Sri Lanka qui ont tir\u00e9 parti d’un nouvel implant appel\u00e9 DBoxAgent pour d\u00e9ployer KEYPLUG.<\/p>\n Ces deux campagnes ont \u00e9t\u00e9 attribu\u00e9es \u00e0 Winnti (alias APT41<\/a>Baryum, Bronze Atlas ou Wicked Panda), qui, selon Recorded Future, “recoupe \u00e9troitement” RedGolf.<\/p>\n “Nous n’avons pas observ\u00e9 de victimologie sp\u00e9cifique dans le cadre de la derni\u00e8re activit\u00e9 RedGolf mise en \u00e9vidence”, a d\u00e9clar\u00e9 Recorded Future. “Cependant, nous pensons que cette activit\u00e9 est probablement men\u00e9e \u00e0 des fins de renseignement plut\u00f4t que pour un gain financier en raison des chevauchements avec les campagnes de cyberespionnage signal\u00e9es pr\u00e9c\u00e9demment.”<\/p>\n La firme de cybers\u00e9curit\u00e9, en plus de d\u00e9tecter un groupe d’\u00e9chantillons KEYPLUG et d’infrastructure op\u00e9rationnelle (nom de code GhostWolf) utilis\u00e9s par le groupe de piratage d’au moins 2021 \u00e0 2023, a not\u00e9 son utilisation d’autres outils comme Cobalt Strike et PlugX.<\/p>\n L’infrastructure GhostWolf, quant \u00e0 elle, se compose de 42 adresses IP qui fonctionnent comme commande et contr\u00f4le KEYPLUG. Le collectif contradictoire a \u00e9galement \u00e9t\u00e9 observ\u00e9 en utilisant un m\u00e9lange de domaines enregistr\u00e9s traditionnellement et de domaines DNS dynamiques, pr\u00e9sentant souvent un th\u00e8me technologique, pour servir de points de communication pour Cobalt Strike et PlugX.<\/p>\n “RedGolf continuera \u00e0 d\u00e9montrer un rythme op\u00e9rationnel \u00e9lev\u00e9 et \u00e0 militariser rapidement les vuln\u00e9rabilit\u00e9s des appareils d’entreprise externes (VPN, pare-feu, serveurs de messagerie, etc.) pour obtenir un acc\u00e8s initial aux r\u00e9seaux cibles”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “De plus, le groupe continuera probablement \u00e0 adopter de nouvelles familles de logiciels malveillants personnalis\u00e9s \u00e0 ajouter aux outils existants tels que KEYPLUG.”<\/p>\n Pour se d\u00e9fendre contre les attaques RedGolf, il est recommand\u00e9 aux organisations d’appliquer r\u00e9guli\u00e8rement des correctifs, de surveiller l’acc\u00e8s aux p\u00e9riph\u00e9riques r\u00e9seau externes, de suivre et de bloquer l’infrastructure de commande et de contr\u00f4le identifi\u00e9e et de configurer des syst\u00e8mes de d\u00e9tection ou de pr\u00e9vention des intrusions pour surveiller les d\u00e9tections de logiciels malveillants.<\/p>\n Les d\u00e9couvertes surviennent alors que Trend Micro a r\u00e9v\u00e9l\u00e9 avoir d\u00e9couvert plus de 200 victimes d’attaques de Mustang Panda (alias Earth Preta) dans le cadre d’un vaste effort de cyberespionnage orchestr\u00e9 par divers sous-groupes associ\u00e9s \u00e0 l’acteur mena\u00e7ant depuis 2022.<\/p>\n La majorit\u00e9 des cyberattaques ont \u00e9t\u00e9 d\u00e9tect\u00e9es en Asie, suivie par l’Afrique, l’Europe, le Moyen-Orient, l’Oc\u00e9anie, l’Am\u00e9rique du Nord et l’Am\u00e9rique du Sud.<\/p>\n “Il existe de fortes indications d’efforts de collecte de renseignements et de collecte de renseignements traditionnels entrelac\u00e9s, indiquant une op\u00e9ration de cyberespionnage hautement coordonn\u00e9e et sophistiqu\u00e9e”, a d\u00e9clar\u00e9 Trend Micro. a dit<\/a>.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/Le-groupe-chinois-RedGolf-cible-les-systemes-Windows-et-Linux.png\")
<\/div>\n