Une \u00e9quipe de piratage parrain\u00e9e par l’\u00c9tat chinois a refait surface avec une nouvelle campagne ciblant les entit\u00e9s gouvernementales, de sant\u00e9, de technologie et de fabrication bas\u00e9es \u00e0 Ta\u00efwan, en Tha\u00eflande, aux Philippines et aux Fidji apr\u00e8s plus de six mois d’inactivit\u00e9.<\/p>\n
Trend Micro attribu\u00e9<\/a> l’intrusion est attribu\u00e9e \u00e0 un groupe de cyberespionnage qu’il traque sous le nom Terre Longzhi<\/strong>qui est un sous-groupe au sein d’APT41 (alias HOODOO ou Winnti) et partage des chevauchements avec divers autres clusters connus sous le nom de Earth Baku, SparklingGoblin et GroupCC.<\/p>\n Earth Longzhi a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 en novembre 2022, d\u00e9taillant ses attaques contre diverses organisations situ\u00e9es en Asie de l’Est et du Sud-Est ainsi qu’en Ukraine.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par l’auteur de la menace exploitent les applications publiques vuln\u00e9rables comme points d’entr\u00e9e pour d\u00e9ployer le shell Web BEHINDER, puis exploitent cet acc\u00e8s pour d\u00e9poser des charges utiles suppl\u00e9mentaires, y compris une nouvelle variante d’un chargeur Cobalt Strike appel\u00e9 CroxLoader.<\/p>\n “Cette r\u00e9cente campagne […] abuse d’un ex\u00e9cutable Windows Defender pour effectuer un chargement lat\u00e9ral de DLL tout en exploitant un pilote vuln\u00e9rable, zamguard.sys, pour d\u00e9sactiver les produits de s\u00e9curit\u00e9 install\u00e9s sur les h\u00f4tes via une attaque BYOVD (apportez votre propre pilote vuln\u00e9rable) “, a d\u00e9clar\u00e9 Trend Micro.<\/p>\n Ce n’est en aucun cas la premi\u00e8re fois que Earth Longzhi utilise la technique BYOVD, avec les campagnes pr\u00e9c\u00e9dentes utilisant le pilote RTCore64.sys vuln\u00e9rable pour restreindre l’ex\u00e9cution des produits de s\u00e9curit\u00e9.<\/p>\n Le malware, baptis\u00e9 SPHijacker, utilise \u00e9galement une deuxi\u00e8me m\u00e9thode appel\u00e9e “stack rumbling” pour atteindre le m\u00eame objectif, qui consiste \u00e0 apporter des modifications au registre Windows pour interrompre le flux d’ex\u00e9cution du processus et provoquer d\u00e9lib\u00e9r\u00e9ment le blocage des applications cibl\u00e9es au lancement.<\/p>\n “Cette technique est un type de [denial-of-service] attaque qui abuse des valeurs MinimumStackCommitInBytes non document\u00e9es dans le [Image File Execution Options<\/a>] cl\u00e9 de registre \u00bb, a expliqu\u00e9 Trend Micro.<\/p>\n “La valeur de MinimumStackCommitInBytes associ\u00e9e \u00e0 un processus sp\u00e9cifique dans la cl\u00e9 de registre IFEO sera utilis\u00e9e pour d\u00e9finir la taille minimale de la pile \u00e0 valider lors de l’initialisation du thread principal. Si la taille de la pile est trop grande, elle d\u00e9clenchera une exception de d\u00e9bordement de pile et se terminera le processus en cours.”<\/p>\n Les approches jumel\u00e9es sont loin d’\u00eatre les seules m\u00e9thodes pouvant \u00eatre utilis\u00e9es pour nuire aux produits de s\u00e9curit\u00e9. Deep Instinct, le mois dernier, a d\u00e9taill\u00e9 une nouvelle technique d’injection de code baptis\u00e9e Vanit\u00e9 sale<\/a> qui exploite le m\u00e9canisme de bifurcation \u00e0 distance de Windows pour les syst\u00e8mes de d\u00e9tection de points de terminaison en aveugle.<\/p>\n De plus, la charge utile du pilote est install\u00e9e en tant que service au niveau du noyau \u00e0 l’aide de Microsoft Remote Procedure Call (RPC<\/a>) par opposition aux API Windows pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n On observe \u00e9galement dans les attaques l’utilisation d’un dropper bas\u00e9 sur DLL nomm\u00e9 Roxwrapper pour fournir un autre chargeur Cobalt Strike nomm\u00e9 BigpipeLoader ainsi qu’un outil d’escalade de privil\u00e8ges (dwm.exe) qui abuse de Windows. Planificateur de t\u00e2ches<\/a> pour lancer une charge utile donn\u00e9e avec les privil\u00e8ges SYSTEM.<\/p>\n La charge utile sp\u00e9cifi\u00e9e, dllhost.exe, est un t\u00e9l\u00e9chargeur capable de r\u00e9cup\u00e9rer les logiciels malveillants de la prochaine \u00e9tape \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n Il convient de souligner ici que dwm.exe est bas\u00e9 sur une preuve de concept (PoC) open source disponible sur GitHub<\/a>sugg\u00e9rant que l’auteur de la menace s’inspire des programmes existants pour affiner son arsenal de logiciels malveillants.<\/p>\n Trend Micro a en outre d\u00e9clar\u00e9 avoir identifi\u00e9 des documents leurres \u00e9crits en vietnamien et en indon\u00e9sien, indiquant des tentatives potentielles de cibler les utilisateurs dans les deux pays \u00e0 l’avenir.<\/p>\n “Earth Longzhi reste actif et continue d’am\u00e9liorer ses tactiques, techniques et proc\u00e9dures (TTP)”, ont not\u00e9 les chercheurs en s\u00e9curit\u00e9 Ted Lee et Hara Hiroaki. “Les organisations doivent rester vigilantes face au d\u00e9veloppement continu de nouveaux stratag\u00e8mes furtifs par les cybercriminels.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1682937111_165_Un-acteur-vietnamien-de-la-menace-infecte-500-000-appareils.png\")
<\/a><\/center><\/div>\n![\"Groupe](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1683139950_622_Le-groupe-de-hackers-chinois-Earth-Longzhi-refait-surface-avec.png\" "\\"Groupe")
<\/div>\n