{"id":796796,"date":"2023-06-22T21:37:30","date_gmt":"2023-06-22T23:37:30","guid":{"rendered":"https:\/\/teknomers.com\/fr\/camaro-dragon-hackers-strike-avec-un-logiciel-malveillant-auto-propagation-usb\/"},"modified":"2023-06-22T21:37:33","modified_gmt":"2023-06-22T23:37:33","slug":"camaro-dragon-hackers-strike-avec-un-logiciel-malveillant-auto-propagation-usb","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/camaro-dragon-hackers-strike-avec-un-logiciel-malveillant-auto-propagation-usb\/","title":{"rendered":"Camaro Dragon Hackers Strike avec un logiciel malveillant auto-propagation USB"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>22 juin 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cybermenace\/malware<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

L’acteur chinois du cyberespionnage connu sous le nom de Dragon Camaro<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’exploiter une nouvelle souche de logiciels malveillants auto-propag\u00e9s qui se propagent via des cl\u00e9s USB compromises.<\/p>\n

“Alors que leur objectif principal \u00e9tait traditionnellement les pays d’Asie du Sud-Est, cette derni\u00e8re d\u00e9couverte r\u00e9v\u00e8le leur port\u00e9e mondiale et met en \u00e9vidence le r\u00f4le alarmant que jouent les cl\u00e9s USB dans la propagation des logiciels malveillants”, a d\u00e9clar\u00e9 Check Point dans un nouveau communiqu\u00e9. recherche<\/a> partag\u00e9 avec The Hacker News.<\/p>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a trouv\u00e9 des preuves d’infections par des logiciels malveillants USB au Myanmar, en Cor\u00e9e du Sud, en Grande-Bretagne, en Inde et en Russie, a d\u00e9clar\u00e9 que les d\u00e9couvertes sont le r\u00e9sultat d’un cyberincident sur lequel elle a enqu\u00eat\u00e9 dans un h\u00f4pital europ\u00e9en anonyme au d\u00e9but de 2023.<\/p>\n

L’enqu\u00eate a r\u00e9v\u00e9l\u00e9 que l’entit\u00e9 n’\u00e9tait pas directement cibl\u00e9e par l’adversaire mais avait plut\u00f4t subi une br\u00e8che via la cl\u00e9 USB d’un employ\u00e9, qui a \u00e9t\u00e9 infect\u00e9e lorsqu’elle a \u00e9t\u00e9 branch\u00e9e sur l’ordinateur d’un coll\u00e8gue lors d’une conf\u00e9rence en Asie.<\/p>\n

“En cons\u00e9quence, \u00e0 son retour \u00e0 l’\u00e9tablissement de sant\u00e9 en Europe, l’employ\u00e9 a introduit par inadvertance la cl\u00e9 USB infect\u00e9e, ce qui a entra\u00een\u00e9 la propagation de l’infection aux syst\u00e8mes informatiques de l’h\u00f4pital”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n

\"La<\/a><\/center><\/div>\n

Camaro Dragon partage des similitudes tactiques avec celles des clusters d’activit\u00e9s suivis comme Mustang Panda et LuminousMoth, l’\u00e9quipe adverse \u00e9tant r\u00e9cemment li\u00e9e \u00e0 une porte d\u00e9rob\u00e9e bas\u00e9e sur Go appel\u00e9e TinyNote et \u00e0 un implant de micrologiciel de routeur malveillant nomm\u00e9 HorseShell.<\/p>\n

La derni\u00e8re cha\u00eene d’infection comprend un lanceur Delphi connu sous le nom de HopperTick qui se propage via des cl\u00e9s USB et sa charge utile principale appel\u00e9e WispRider, qui est responsable de l’infection des appareils lorsqu’ils sont connect\u00e9s \u00e0 une machine.<\/p>\n

“Lorsqu’une cl\u00e9 USB b\u00e9nigne est ins\u00e9r\u00e9e dans un ordinateur infect\u00e9, le logiciel malveillant d\u00e9tecte un nouveau p\u00e9riph\u00e9rique ins\u00e9r\u00e9 dans le PC et manipule ses fichiers, cr\u00e9ant plusieurs dossiers cach\u00e9s \u00e0 la racine de la cl\u00e9”, ont d\u00e9clar\u00e9 les chercheurs de Check Point.<\/p>\n

\"Logiciels<\/div>\n

WispRider, en plus d’infecter l’h\u00f4te actuel si ce n’est d\u00e9j\u00e0 fait, est charg\u00e9 de communiquer avec un serveur distant, de compromettre tout p\u00e9riph\u00e9rique USB nouvellement connect\u00e9, d’ex\u00e9cuter des commandes arbitraires et d’effectuer des op\u00e9rations sur les fichiers.<\/p>\n

Certaines variantes de WispRider fonctionnent \u00e9galement comme une porte d\u00e9rob\u00e9e avec des capacit\u00e9s pour contourner une solution antivirus indon\u00e9sienne appel\u00e9e Smadav ainsi que pour recourir au chargement lat\u00e9ral de DLL en utilisant des composants de logiciels de s\u00e9curit\u00e9 comme G-DATA Total Security.<\/p>\n

Une autre charge utile post-exploitation livr\u00e9e avec WispRider est un module de voleur appel\u00e9 moniteur de disque (HPCustPartUI.dll<\/a>) qui organise les fichiers avec des extensions pr\u00e9d\u00e9finies (par exemple, docx, mp3, wav, m4a, wma, aac, cda et mid) pour l’exfiltration.<\/p>\n

Ce n’est pas la premi\u00e8re fois que des acteurs chinois de la menace sont observ\u00e9s en train de tirer parti des p\u00e9riph\u00e9riques USB comme vecteur d’infection pour atteindre des environnements bien au-del\u00e0 de la port\u00e9e des principaux int\u00e9r\u00eats de l’acteur de la menace.<\/p>\n

En novembre 2022, Mandiant, propri\u00e9t\u00e9 de Google, a attribu\u00e9 UNC4191, un acteur mena\u00e7ant avec un lien pr\u00e9sum\u00e9 avec la Chine, \u00e0 une s\u00e9rie d’attaques d’espionnage aux Philippines qui ont conduit \u00e0 la distribution de logiciels malveillants tels que MISTCLOAK, DARKDEW et BLUEHAZE.<\/p>\n

Un rapport ult\u00e9rieur de Trend Micro en mars 2023 a r\u00e9v\u00e9l\u00e9 des chevauchements entre UNC4191 et Mustang Panda, reliant ce dernier \u00e0 l’utilisation de MISTCLOAK et BLUEHAZE dans des campagnes de harponnage ciblant les pays d’Asie du Sud-Est.<\/p>\n

Ce d\u00e9veloppement est un signe que les acteurs de la menace modifient activement leurs outils, tactiques et proc\u00e9dures (TTP) pour contourner les solutions de s\u00e9curit\u00e9, tout en s’appuyant simultan\u00e9ment sur une vaste collection d’outils personnalis\u00e9s pour exfiltrer les donn\u00e9es sensibles des r\u00e9seaux victimes.<\/p>\n

“Le groupe Camaro Dragon APT continue d’utiliser des p\u00e9riph\u00e9riques USB comme m\u00e9thode pour infecter des syst\u00e8mes cibl\u00e9s, combinant efficacement cette technique avec d’autres tactiques \u00e9tablies”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n