On a observ\u00e9 que l’acteur d’\u00c9tat-nation chinois r\u00e9cemment d\u00e9couvert connu sous le nom de Volt Typhoon \u00e9tait actif dans la nature depuis au moins la mi-2020, avec l’\u00e9quipe de piratage li\u00e9e \u00e0 des engins commerciaux in\u00e9dits pour conserver un acc\u00e8s \u00e0 distance aux cibles d’int\u00e9r\u00eat.<\/p>\n
Les r\u00e9sultats proviennent de CrowdStrike, qui suit l’adversaire sous le nom Panda de l’avant-garde<\/strong>.<\/p>\n “L’adversaire a syst\u00e9matiquement utilis\u00e9 les exploits de ManageEngine Self-service Plus pour obtenir un acc\u00e8s initial, suivis de shells Web personnalis\u00e9s pour un acc\u00e8s persistant, et de techniques de vie hors de la terre (LotL) pour les mouvements lat\u00e9raux”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. a dit<\/a>.<\/p>\n Volt Typhoon, connu sous le nom de Bronze Silhouette, est un groupe de cyberespionnage chinois qui a \u00e9t\u00e9 li\u00e9 \u00e0 des op\u00e9rations d’intrusion de r\u00e9seau contre le gouvernement am\u00e9ricain, la d\u00e9fense et d’autres organisations d’infrastructures critiques.<\/p>\n Une analyse du modus operandi du groupe a r\u00e9v\u00e9l\u00e9 l’importance qu’il accorde \u00e0 la s\u00e9curit\u00e9 op\u00e9rationnelle, utilisant avec pr\u00e9caution un ensemble complet d’outils open source contre un nombre limit\u00e9 de victimes pour mener des actes malveillants \u00e0 long terme.<\/p>\n Il a en outre \u00e9t\u00e9 d\u00e9crit comme un groupe de menaces qui “favorise les shells Web pour la persistance et s’appuie sur de courtes p\u00e9riodes d’activit\u00e9 impliquant principalement des binaires vivant hors de la terre pour atteindre ses objectifs”.<\/p>\n Lors d’un incident infructueux ciblant un client non sp\u00e9cifi\u00e9, l’acteur a cibl\u00e9 le service Zoho ManageEngine ADSelfService Plus ex\u00e9cut\u00e9 sur un serveur Apache Tomcat pour d\u00e9clencher l’ex\u00e9cution de commandes suspectes concernant l’\u00e9num\u00e9ration des processus et la connectivit\u00e9 r\u00e9seau, entre autres. <\/p>\n “Les actions de Vanguard Panda ont indiqu\u00e9 une familiarit\u00e9 avec l’environnement cible, en raison de la succession rapide de leurs commandes, ainsi que des noms d’h\u00f4te et des adresses IP internes sp\u00e9cifiques \u00e0 ping, des partages distants \u00e0 monter et des informations d’identification en clair \u00e0 utiliser pour WMI<\/a>“, a d\u00e9clar\u00e9 CrowdStrike.<\/p>\n Un examen plus approfondi des journaux d’acc\u00e8s Tomcat a mis au jour plusieurs requ\u00eates HTTP POST adress\u00e9es \u00e0 \/html\/promotion\/selfsdp.jspx, un shell Web camoufl\u00e9 en tant que solution de s\u00e9curit\u00e9 d’identit\u00e9 l\u00e9gitime pour contourner la d\u00e9tection.<\/p>\n On pense que le shell Web a \u00e9t\u00e9 d\u00e9ploy\u00e9 pr\u00e8s de six mois avant l’activit\u00e9 pratique sur le clavier susmentionn\u00e9e, ce qui indique une reconnaissance pr\u00e9alable approfondie du r\u00e9seau cible.<\/p>\n Bien qu’il ne soit pas imm\u00e9diatement clair comment Vanguard Panda a r\u00e9ussi \u00e0 violer l’environnement ManageEngine, tous les signes indiquent l’exploitation de CVE-2021-40539, une faille critique de contournement d’authentification avec l’ex\u00e9cution de code \u00e0 distance qui en r\u00e9sulte.<\/p>\n On soup\u00e7onne que l’auteur de la menace a supprim\u00e9 des artefacts et falsifi\u00e9 les journaux d’acc\u00e8s \u00e0 obscurcir la piste m\u00e9dico-l\u00e9gale<\/a>. Cependant, dans un faux pas flagrant, le processus n’a pas pris en compte la source Java et fichiers de classe compil\u00e9s<\/a> qui ont \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9s au cours de l’attaque, conduisant \u00e0 la d\u00e9couverte de plus de shells Web et de portes d\u00e9rob\u00e9es.<\/p>\n Cela inclut un fichier JSP qui est probablement r\u00e9cup\u00e9r\u00e9 \u00e0 partir d’un serveur externe et qui est con\u00e7u pour d\u00e9jouer “tomcat-websocket.jar” en utilisant un fichier JAR auxiliaire appel\u00e9 “tomcat-ant.jar” qui est \u00e9galement r\u00e9cup\u00e9r\u00e9 \u00e0 distance au moyen d’un site Web shell, apr\u00e8s quoi des actions de nettoyage sont effectu\u00e9es pour couvrir les pistes.<\/p>\n La version trojanis\u00e9e de tomcat-websocket.jar est \u00e9quip\u00e9e de trois nouvelles classes Java – nomm\u00e9es A, B et C – avec A.class fonctionnant comme un autre shell Web capable de recevoir et d’ex\u00e9cuter des commandes cod\u00e9es en Base64 et crypt\u00e9es en AES.<\/p>\n “L’utilisation d’une biblioth\u00e8que Apache Tomcat avec porte d\u00e9rob\u00e9e est un TTP de persistance non divulgu\u00e9 pr\u00e9c\u00e9demment utilis\u00e9 par Vanguard Panda”, a d\u00e9clar\u00e9 CrowdStrike, notant avec une confiance mod\u00e9r\u00e9e que l’implant est utilis\u00e9 pour “permettre un acc\u00e8s persistant \u00e0 des cibles de grande valeur s\u00e9lectionn\u00e9es apr\u00e8s la phase d’acc\u00e8s initiale d’op\u00e9rations utilisant alors les vuln\u00e9rabilit\u00e9s zero-day.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/La-nouvelle-souche-Linux-Ransomware-BlackSuit-presente-des-similitudes-frappantes.png\")
<\/a><\/center><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Des-hackers-chinois-utilisent-des-tactiques-inedites-pour-attaquer-des.png\")
<\/a><\/center><\/div>\n