Le groupe d’\u00c9tats-nations chinois surnomm\u00e9 Taureau en alliage<\/strong> utilise une variante Linux d’une porte d\u00e9rob\u00e9e appel\u00e9e PingPull ainsi qu’un nouvel outil non document\u00e9 nomm\u00e9 Sword2033.<\/p>\n C’est selon les conclusions de l’unit\u00e9 42 de Palo Alto Networks, qui d\u00e9couvert<\/a> cyberactivit\u00e9 malveillante r\u00e9cente men\u00e9e par le groupe ciblant l’Afrique du Sud et le N\u00e9pal.<\/p>\n Alloy Taurus est le surnom sur le th\u00e8me de la constellation attribu\u00e9 \u00e0 un acteur mena\u00e7ant connu pour ses attaques ciblant les entreprises de t\u00e9l\u00e9communications depuis au moins 2012. Il est \u00e9galement suivi par Microsoft sous le nom de Granite Typhoon (anciennement Gallium).<\/p>\n Le mois dernier, l’adversaire a \u00e9t\u00e9 attribu\u00e9 \u00e0 une campagne appel\u00e9e Tainted Love ciblant les fournisseurs de t\u00e9l\u00e9communications au Moyen-Orient dans le cadre d’une op\u00e9ration plus large appel\u00e9e Soft Cell.<\/p>\n Les r\u00e9centes attaques de cyberespionnage mont\u00e9es par Alloy Taurus ont \u00e9galement \u00e9largi leur empreinte de victimologie pour inclure les institutions financi\u00e8res et les entit\u00e9s gouvernementales.<\/p>\n PingPull, document\u00e9 pour la premi\u00e8re fois par l’Unit\u00e9 42 en juin 2022, est un cheval de Troie d’acc\u00e8s \u00e0 distance qui utilise le protocole ICMP (Internet Control Message Protocol) pour les communications de commande et de contr\u00f4le (C2).<\/p>\n La version Linux du malware poss\u00e8de des fonctionnalit\u00e9s similaires \u00e0 celles de son homologue Windows, lui permettant d’effectuer des op\u00e9rations sur les fichiers et d’ex\u00e9cuter des commandes arbitraires en transmettant depuis le serveur C2 un seul caract\u00e8re majuscule entre A et K, et M.<\/p>\n “Lors de l’ex\u00e9cution, cet exemple est configur\u00e9 pour communiquer avec le domaine yrhsywu2009.zapto[.]org sur le port 8443 pour C2”, a d\u00e9clar\u00e9 l’unit\u00e9 42. “Il utilise une biblioth\u00e8que OpenSSL li\u00e9e statiquement (OpenSSL 0.9.8e) pour interagir avec le domaine via HTTPS.”<\/p>\n Fait int\u00e9ressant, l’analyse par PingPull des instructions C2 refl\u00e8te celle du Hachoir de Chine<\/a>un coque web<\/a> largement utilis\u00e9 par les acteurs chinois de la menace, ce qui sugg\u00e8re que l’acteur de la menace r\u00e9oriente le code source existant pour concevoir des outils personnalis\u00e9s.<\/p>\n Un examen plus approfondi du domaine susmentionn\u00e9 a \u00e9galement r\u00e9v\u00e9l\u00e9 l’existence d’un autre artefact ELF (c’est-\u00e0-dire Sword2033) qui prend en charge trois fonctions de base, notamment le t\u00e9l\u00e9chargement et l’exfiltration de fichiers et l’ex\u00e9cution de commandes.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Les liens du logiciel malveillant vers Alloy Taurus proviennent du fait que le domaine s’est r\u00e9solu en une adresse IP pr\u00e9c\u00e9demment identifi\u00e9e comme un indicateur actif de compromission (IoC) associ\u00e9 \u00e0 une pr\u00e9c\u00e9dente campagne ciblant des entreprises op\u00e9rant en Asie du Sud-Est, en Europe et en Afrique.<\/p>\n Le ciblage de l’Afrique du Sud, selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, s’inscrit dans le contexte o\u00f9 le pays d\u00e9tient un exercice naval conjoint de 10 jours<\/a> avec la Russie et la Chine plus t\u00f4t cette ann\u00e9e.<\/p>\n “Alloy Taurus reste une menace active pour les t\u00e9l\u00e9communications, la finance et les organisations gouvernementales en Asie du Sud-Est, en Europe et en Afrique”, a d\u00e9clar\u00e9 l’unit\u00e9 42.<\/p>\n “L’identification d’une variante Linux du malware PingPull, ainsi que l’utilisation r\u00e9cente de la porte d\u00e9rob\u00e9e Sword2033, sugg\u00e8rent que le groupe continue de faire \u00e9voluer ses op\u00e9rations pour soutenir ses activit\u00e9s d’espionnage.”<\/p>\n <\/p>\n![\"PingPull](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682531125_99_Des-pirates-chinois-reperes-utilisant-la-variante-Linux-de-PingPull.png\" "\\"PingPull")
<\/div>\n