{"id":698358,"date":"2023-04-22T06:29:22","date_gmt":"2023-04-22T08:29:22","guid":{"rendered":"https:\/\/teknomers.com\/fr\/le-piratage-de-lazarus-x_trader-affecte-linfrastructure-critique-au-dela-de-la-violation-de-3cx\/"},"modified":"2023-04-22T06:29:26","modified_gmt":"2023-04-22T08:29:26","slug":"le-piratage-de-lazarus-x_trader-affecte-linfrastructure-critique-au-dela-de-la-violation-de-3cx","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/le-piratage-de-lazarus-x_trader-affecte-linfrastructure-critique-au-dela-de-la-violation-de-3cx\/","title":{"rendered":"Le piratage de Lazarus X_TRADER affecte l’infrastructure critique au-del\u00e0 de la violation de 3CX"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>22 avril 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cha\u00eene d’approvisionnement \/ Cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Lazarus, le prolifique groupe de piratage nord-cor\u00e9en \u00e0 l’origine de l’attaque en cascade de la cha\u00eene d’approvisionnement ciblant 3CX, a \u00e9galement pirat\u00e9 deux organisations d’infrastructures critiques dans le secteur de l’\u00e9lectricit\u00e9 et de l’\u00e9nergie et deux autres entreprises impliqu\u00e9es dans le commerce financier en utilisant l’application X_TRADER trojanis\u00e9e.<\/p>\n

Les nouvelles d\u00e9couvertes, qui viennent avec l’aimable autorisation de L’\u00e9quipe Threat Hunter de Symantec<\/a>, confirment les soup\u00e7ons ant\u00e9rieurs selon lesquels la compromission de l’application X_TRADER affectait plus d’organisations que 3CX. Les noms des organisations n’ont pas \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s.<\/p>\n

Eric Chien, directeur de la r\u00e9ponse de s\u00e9curit\u00e9 chez Symantec, propri\u00e9t\u00e9 de Broadcom, a d\u00e9clar\u00e9 \u00e0 The Hacker News dans un communiqu\u00e9 que les attaques avaient eu lieu entre septembre 2022 et novembre 2022.<\/p>\n

“L’impact de ces infections est inconnu pour le moment – une enqu\u00eate plus approfondie est n\u00e9cessaire et est en cours”, a d\u00e9clar\u00e9 Chien, ajoutant qu’il est possible qu’il y ait “probablement plus \u00e0 cette histoire et peut-\u00eatre m\u00eame d’autres paquets qui sont trojanis\u00e9s”.<\/p>\n

Le d\u00e9veloppement intervient alors que Mandiant a r\u00e9v\u00e9l\u00e9 que la compromission du logiciel d’application de bureau 3CX le mois dernier a \u00e9t\u00e9 facilit\u00e9e par une autre violation de la cha\u00eene d’approvisionnement logicielle ciblant X_TRADER en 2022, qu’un employ\u00e9 a t\u00e9l\u00e9charg\u00e9 sur son ordinateur personnel.<\/p>\n

On ignore actuellement comment UNC4736, un acteur du lien nord-cor\u00e9en, a trafiqu\u00e9 X_TRADER, un logiciel de trading d\u00e9velopp\u00e9 par une soci\u00e9t\u00e9 nomm\u00e9e Trading Technologies. Bien que le service ait \u00e9t\u00e9 interrompu en avril 2020, il \u00e9tait toujours disponible en t\u00e9l\u00e9chargement sur le site Web de l’entreprise aussi r\u00e9cemment que l’ann\u00e9e derni\u00e8re.<\/p>\n

L’enqu\u00eate de Mandiant a r\u00e9v\u00e9l\u00e9 que la porte d\u00e9rob\u00e9e (surnomm\u00e9e VEILEDSIGNAL) inject\u00e9e dans l’application X_TRADER corrompue a permis \u00e0 l’adversaire d’acc\u00e9der \u00e0 l’ordinateur de l’employ\u00e9 et de siphonner ses identifiants, qui ont ensuite \u00e9t\u00e9 utilis\u00e9s pour violer le r\u00e9seau de 3CX, se d\u00e9placer lat\u00e9ralement et compromettre Windows et macOS construit des environnements pour ins\u00e9rer du code malveillant.<\/p>\n

L’attaque interconnect\u00e9e tentaculaire semble avoir un chevauchement substantiel avec les pr\u00e9c\u00e9dents groupes et campagnes align\u00e9s sur la Cor\u00e9e du Nord qui ont historiquement cibl\u00e9 les soci\u00e9t\u00e9s de crypto-monnaie et men\u00e9 des attaques \u00e0 motivation financi\u00e8re.<\/p>\n

La filiale de Google Cloud a \u00e9valu\u00e9 avec une “confiance mod\u00e9r\u00e9e” que l’activit\u00e9 est li\u00e9e \u00e0 AppleJeus, une campagne persistante ciblant les soci\u00e9t\u00e9s de cryptographie pour le vol financier. La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike a pr\u00e9c\u00e9demment attribu\u00e9 l’attaque \u00e0 un cluster Lazarus qu’elle appelle Labyrinth Chollima.<\/p>\n

Le m\u00eame collectif contradictoire \u00e9tait auparavant li\u00e9 par le groupe d’analyse des menaces (TAG) de Google \u00e0 la compromission du site Web de Trading Technologies en f\u00e9vrier 2022 pour servir un kit d’exploitation qui exploitait une faille alors z\u00e9ro jour dans le navigateur Web Chrome.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n

D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n

Sauvez ma place\u00a0!<\/a><\/div>\n

ESET, dans une analyse d’une campagne disparate du groupe Lazarus, a r\u00e9v\u00e9l\u00e9 un nouveau logiciel malveillant bas\u00e9 sur Linux appel\u00e9 SimplexTea qui partage la m\u00eame infrastructure r\u00e9seau identifi\u00e9e comme utilis\u00e9e par UNC4736, d\u00e9veloppant davantage les preuves existantes que le piratage 3CX a \u00e9t\u00e9 orchestr\u00e9 par une menace nord-cor\u00e9enne. acteurs.<\/p>\n

“[Mandiant’s] la d\u00e9couverte d’une deuxi\u00e8me attaque de la cha\u00eene d’approvisionnement responsable de la compromission de 3CX est une r\u00e9v\u00e9lation que Lazarus pourrait se tourner de plus en plus vers cette technique pour obtenir un acc\u00e8s initial au r\u00e9seau de leurs cibles \u00bb, a d\u00e9clar\u00e9 Marc-Etienne M.L\u00e9veill\u00e9, chercheur sur les logiciels malveillants chez ESET. Nouvelles de pirates.<\/p>\n

La compromission de l’application X_TRADER fait davantage allusion aux motivations financi\u00e8res des attaquants. Lazarus (\u00e9galement connu sous le nom de HIDDEN COBRA) est un terme g\u00e9n\u00e9rique d\u00e9signant un compos\u00e9 de plusieurs sous-groupes bas\u00e9s en Cor\u00e9e du Nord qui se livrent \u00e0 la fois \u00e0 des activit\u00e9s d’espionnage et de cybercriminalit\u00e9 au nom du Royaume Ermite et \u00e9chappent aux sanctions internationales.<\/p>\n

La rupture de la cha\u00eene d’infection par Symantec corrobore le d\u00e9ploiement de la porte d\u00e9rob\u00e9e modulaire VEILEDSIGNAL, qui int\u00e8gre \u00e9galement un module d’injection de processus pouvant \u00eatre inject\u00e9 dans les navigateurs Web Chrome, Firefox ou Edge. Le module, pour sa part, contient une biblioth\u00e8que de liens dynamiques (DLL) qui se connecte au site Web de Trading Technologies pour la commande et le contr\u00f4le (C2).<\/p>\n

“La d\u00e9couverte que 3CX a \u00e9t\u00e9 pirat\u00e9 par une autre attaque ant\u00e9rieure de la cha\u00eene d’approvisionnement a rendu tr\u00e8s probable que d’autres organisations seraient touch\u00e9es par cette campagne, qui s’av\u00e8re maintenant \u00eatre beaucoup plus \u00e9tendue qu’on ne le pensait initialement”, a conclu Symantec.<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n