Un acteur de menace persistante avanc\u00e9e (APT) connu sous le nom de Souffle du dragon<\/strong> a \u00e9t\u00e9 observ\u00e9 ajoutant de nouvelles couches de complexit\u00e9 \u00e0 ses attaques en adoptant un nouveau Chargement lat\u00e9ral de DLL<\/a> m\u00e9canisme.<\/p>\n “L’attaque est bas\u00e9e sur une attaque de chargement lat\u00e9ral classique, consistant en une application propre, un chargeur malveillant et une charge utile chiffr\u00e9e, avec diverses modifications apport\u00e9es \u00e0 ces composants au fil du temps”, a d\u00e9clar\u00e9 Gabor Szappanos, chercheur chez Sophos. a dit<\/a>.<\/p>\n “Les derni\u00e8res campagnes ajoutent une touche dans laquelle une application propre de premi\u00e8re \u00e9tape charge une deuxi\u00e8me application propre et l’ex\u00e9cute automatiquement. La deuxi\u00e8me application propre charge la DLL de chargeur malveillante. Apr\u00e8s cela, la DLL de chargeur malveillant s’ex\u00e9cute la charge utile finale.”<\/p>\n L’op\u00e9ration Dragon Breath, \u00e9galement suivie sous les noms APT-Q-27 et Golden Eye, a \u00e9t\u00e9 d’abord<\/a> document\u00e9<\/a> par QiAnXin en 2020, d\u00e9taillant une campagne de point d’eau con\u00e7ue pour inciter les utilisateurs \u00e0 t\u00e9l\u00e9charger un programme d’installation Windows cheval de Troie pour Telegram.<\/p>\n UN subs\u00e9quent<\/a> campagne<\/a> d\u00e9taill\u00e9 par la soci\u00e9t\u00e9 chinoise de cybers\u00e9curit\u00e9 en mai 2022 a mis en \u00e9vidence l’utilisation continue des installateurs de Telegram comme leurre pour d\u00e9ployer des charges utiles suppl\u00e9mentaires telles que gh0st RAT.<\/p>\n Dragon Breath ferait \u00e9galement partie d’une entit\u00e9 plus large appel\u00e9e Miuuti Group, l’adversaire \u00e9tant qualifi\u00e9 d’entit\u00e9 “chinoisante” ciblant les industries des jeux et des jeux d’argent en ligne, rejoignant d’autres groupes d’activit\u00e9s chinois comme Dragon Castling, Danse du dragon<\/a>et Terre Berberoka.<\/p>\n La strat\u00e9gie de chargement lat\u00e9ral de DLL en double dip, selon Sophos, a \u00e9t\u00e9 exploit\u00e9e dans des attaques ciblant des utilisateurs aux Philippines, au Japon, \u00e0 Ta\u00efwan, \u00e0 Singapour, \u00e0 Hong Kong et en Chine. Ces tentatives d’intrusion ont finalement \u00e9chou\u00e9.<\/p>\n Le vecteur initial est un faux site Web h\u00e9bergeant un programme d’installation pour Telegram qui, lorsqu’il est ouvert, cr\u00e9e un raccourci sur le bureau con\u00e7u pour charger des composants malveillants dans les coulisses lors du lancement, tout en affichant \u00e9galement \u00e0 la victime l’interface utilisateur de l’application Telegram.<\/p>\n De plus, on pense que l’adversaire a cr\u00e9\u00e9 plusieurs variantes du sch\u00e9ma dans lequel des installateurs falsifi\u00e9s pour d’autres applications, telles que LetsVPN et WhatsApp, sont utilis\u00e9s pour lancer la cha\u00eene d’attaque.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1682946326_927_Decouverte-de-la-nouvelle-boite-a-outils-de-logiciels-malveillants.png\")
<\/a><\/center><\/div>\n![\"Technique](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/05\/1683380489_762_Dragon-Breath-APT-Group-utilise-la-technique-de-double-nettoyage.png\" "\\"Technique")
<\/div>\n