L’\u00e9ducation, la construction, les institutions diplomatiques et politiques sud-cor\u00e9ennes sont la cible de nouvelles attaques perp\u00e9tr\u00e9es par un acteur mena\u00e7ant align\u00e9 sur la Chine connu sous le nom de L’\u00e9quipe Tonto<\/strong>.<\/p>\n “Des cas r\u00e9cents ont r\u00e9v\u00e9l\u00e9 que le groupe utilise un fichier li\u00e9 \u00e0 des produits anti-malware pour finalement ex\u00e9cuter ses attaques malveillantes”, a d\u00e9clar\u00e9 le centre de r\u00e9ponse d’urgence de s\u00e9curit\u00e9 AhnLab (ASEC). a dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n L’\u00e9quipe Tonto, active depuis au moins 2009, a fait ses preuves dans le ciblage de divers secteurs en Asie et en Europe de l’Est. Plus t\u00f4t cette ann\u00e9e, le groupe a \u00e9t\u00e9 attribu\u00e9 \u00e0 une attaque de phishing infructueuse contre la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Group-IB.<\/p>\n La s\u00e9quence d’attaque d\u00e9couverte par l’ASEC commence par un fichier Microsoft Compiled HTML Help (.CHM) qui ex\u00e9cute un fichier binaire pour charger lat\u00e9ralement un fichier DLL malveillant (slc.dll) et lancer ReVBShell<\/a>une porte d\u00e9rob\u00e9e VBScript open source \u00e9galement utilis\u00e9e par un autre acteur mena\u00e7ant chinois appel\u00e9 Tick.<\/p>\n ReVBShell est ensuite exploit\u00e9 pour t\u00e9l\u00e9charger un deuxi\u00e8me ex\u00e9cutable, un fichier de configuration l\u00e9gitime du logiciel Avast (wsc_proxy.exe), pour charger une deuxi\u00e8me DLL malveillante (wsc.dll), conduisant finalement au d\u00e9ploiement du bison<\/a> cheval de Troie d’acc\u00e8s \u00e0 distance.<\/p>\n “L’\u00e9quipe Tonto \u00e9volue constamment par divers moyens, tels que l’utilisation de logiciels normaux pour des attaques plus \u00e9labor\u00e9es”, a d\u00e9clar\u00e9 l’ASEC.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n L’utilisation de fichiers CHM comme vecteur de distribution de logiciels malveillants ne se limite pas aux seuls acteurs chinois de la menace. Des cha\u00eenes d’attaques similaires ont \u00e9t\u00e9 adopt\u00e9es par un groupe d’\u00c9tats-nations nord-cor\u00e9en connu sous le nom de ScarCruft en attaques<\/a> destin\u00e9 \u00e0 son homologue du sud pour des h\u00f4tes cibl\u00e9s par porte d\u00e9rob\u00e9e.<\/p>\n L’adversaire, \u00e9galement connu sous le nom d’APT37, Reaper et Ricochet Chollima, a depuis \u00e9galement utilis\u00e9 Fichiers LNK pour distribuer le malware RokRAT<\/a>qui est capable de collecter les informations d’identification des utilisateurs et de t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires.<\/p>\n <\/p>\n