{"id":693070,"date":"2023-04-17T11:13:48","date_gmt":"2023-04-17T13:13:48","guid":{"rendered":"https:\/\/teknomers.com\/fr\/google-decouvre-lutilisation-par-apt41-de-loutil-open-source-gc2-pour-cibler-les-medias-et-les-sites-demploi\/"},"modified":"2023-04-17T11:13:51","modified_gmt":"2023-04-17T13:13:51","slug":"google-decouvre-lutilisation-par-apt41-de-loutil-open-source-gc2-pour-cibler-les-medias-et-les-sites-demploi","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/google-decouvre-lutilisation-par-apt41-de-loutil-open-source-gc2-pour-cibler-les-medias-et-les-sites-demploi\/","title":{"rendered":"Google d\u00e9couvre l’utilisation par APT41 de l’outil Open Source GC2 pour cibler les m\u00e9dias et les sites d’emploi"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>17 avril 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cybermenace \/ S\u00e9curit\u00e9 cloud<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Un groupe d’\u00c9tats-nations chinois a cibl\u00e9 une organisation m\u00e9diatique ta\u00efwanaise anonyme pour fournir un outil d’\u00e9quipe rouge open source connu sous le nom de Google Command and Control (GC2<\/a>) au milieu d’un abus g\u00e9n\u00e9ralis\u00e9 de l’infrastructure de Google \u00e0 des fins malveillantes.<\/p>\n

Le groupe d’analyse des menaces (TAG) du g\u00e9ant de la technologie a attribu\u00e9 la campagne \u00e0 un acteur mena\u00e7ant qu’il suit sous le surnom g\u00e9ologique et g\u00e9ographique. POISSE<\/strong>\u00e9galement connu sous les noms APT41, Baryum, Bronze Atlas, Wicked Panda et Winnti.<\/p>\n

Le point de d\u00e9part de l’attaque est un e-mail de phishing contenant des liens vers un fichier prot\u00e9g\u00e9 par mot de passe h\u00e9berg\u00e9 sur Google Drive, qui, \u00e0 son tour, int\u00e8gre l’outil GC2 pour lire les commandes de Google Sheets et exfiltrer les donn\u00e9es \u00e0 l’aide du service de stockage en nuage.<\/p>\n

“Apr\u00e8s installation sur la machine victime, le malware interroge Google Sheets pour obtenir les commandes de l’attaquant”, indique la division cloud de Google. a dit<\/a> dans son sixi\u00e8me rapport Threat Horizons. “En plus de l’exfiltration via Drive, GC2 permet \u00e0 l’attaquant de t\u00e9l\u00e9charger des fichiers suppl\u00e9mentaires de Drive sur le syst\u00e8me victime.”<\/p>\n

Google a d\u00e9clar\u00e9 que l’acteur de la menace avait pr\u00e9c\u00e9demment utilis\u00e9 le m\u00eame logiciel malveillant en juillet 2022 pour cibler un site Web italien de recherche d’emploi.<\/p>\n

Cette \u00e9volution est remarquable pour deux raisons\u00a0: premi\u00e8rement, elle sugg\u00e8re que les groupes de menaces chinois s’appuient de plus en plus sur des outils accessibles au public tels que Cobalt Strike et GC2 pour confondre les efforts d’attribution.<\/p>\n

Deuxi\u00e8mement, cela souligne \u00e9galement l’adoption croissante de logiciels malveillants et d’outils \u00e9crits dans le langage de programmation Go, en raison de sa compatibilit\u00e9 multiplateforme et de sa nature modulaire.<\/p>\n

Google a en outre averti que la “valeur ind\u00e9niable des services cloud” en a fait une cible lucrative pour les cybercriminels et les acteurs soutenus par le gouvernement, “soit en tant qu’h\u00e9bergeurs de logiciels malveillants, soit en fournissant l’infrastructure de commande et de contr\u00f4le (C2)”.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Ma\u00eetrisez l’art de la collecte de renseignements sur le dark web<\/p>\n

Apprenez l’art d’extraire des informations sur les menaces du dark web – Rejoignez ce webinaire dirig\u00e9 par des experts\u00a0!<\/p>\n

Sauvez ma place\u00a0!<\/a><\/div>\n

Un exemple concret est l’utilisation de Google Drive pour stocker des logiciels malveillants tels que Ursnif (alias Gozi) et DICELOADER (alias Lizar ou Tirion) sous la forme de fichiers d’archive ZIP dans le cadre de campagnes de phishing disparates. <\/p>\n

“Le vecteur le plus couramment utilis\u00e9 pour compromettre n’importe quel r\u00e9seau, y compris les instances cloud, consiste \u00e0 prendre directement en charge les informations d’identification d’un compte\u00a0: soit parce qu’il n’y a pas de mot de passe, comme avec certaines configurations par d\u00e9faut, soit parce qu’une information d’identification a \u00e9t\u00e9 divulgu\u00e9e ou recycl\u00e9e ou est g\u00e9n\u00e9ralement si faible. pour \u00eatre devinable”, a d\u00e9clar\u00e9 Christopher Porter de Google Cloud.<\/p>\n

Les r\u00e9sultats surviennent trois mois apr\u00e8s que Google Cloud a d\u00e9taill\u00e9 le ciblage d’APT10 (alias Bronze Riverside, Cicada, Potassium ou Stone Panda) de l’infrastructure cloud et des technologies VPN pour violer les environnements d’entreprise et exfiltrer les donn\u00e9es d’int\u00e9r\u00eat.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n