Un acteur malveillant non identifi\u00e9 a compromis une application utilis\u00e9e par plusieurs entit\u00e9s au Pakistan pour fournir ShadowPad, un successeur de la porte d\u00e9rob\u00e9e PlugX qui est g\u00e9n\u00e9ralement associ\u00e9e aux \u00e9quipes de piratage chinois.<\/p>\n
Selon Trend Micro, les cibles comprenaient une entit\u00e9 gouvernementale pakistanaise, une banque du secteur public et un fournisseur de t\u00e9l\u00e9communications. Les infections ont eu lieu entre la mi-f\u00e9vrier 2022 et septembre 2022.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que l’incident pourrait \u00eatre le r\u00e9sultat d’une attaque de la cha\u00eene d’approvisionnement, dans laquelle un logiciel l\u00e9gitime utilis\u00e9 par des cibles d’int\u00e9r\u00eat est transform\u00e9 en cheval de Troie pour d\u00e9ployer des logiciels malveillants capables de collecter des informations sensibles \u00e0 partir de syst\u00e8mes compromis.<\/p>\n
La cha\u00eene d’attaque prend la forme d’un programme d’installation malveillant pour Bureau \u00e9lectronique<\/a>une application d\u00e9velopp\u00e9e par le National Information Technology Board (NITB) du Pakistan pour aider les services gouvernementaux \u00e0 se passer du papier.<\/p>\n Il n’est actuellement pas clair comment le programme d’installation d’E-Office d\u00e9rob\u00e9 a \u00e9t\u00e9 livr\u00e9 aux cibles. Cela dit, rien ne prouve \u00e0 ce jour que l’environnement de construction de l’agence gouvernementale pakistanaise en question ait \u00e9t\u00e9 compromis.<\/p>\n Cela soul\u00e8ve la possibilit\u00e9 que l’auteur de la menace ait obtenu le programme d’installation l\u00e9gitime et l’ait falsifi\u00e9 pour inclure des logiciels malveillants, puis a ensuite incit\u00e9 les victimes \u00e0 ex\u00e9cuter la version cheval de Troie via des attaques d’ing\u00e9nierie sociale.<\/p>\n “Trois fichiers ont \u00e9t\u00e9 ajout\u00e9s au programme d’installation MSI l\u00e9gitime\u00a0: Telerik.Windows.Data.Validation.dll, mscoree.dll et mscoree.dll.dat”, a d\u00e9clar\u00e9 Daniel Lunghi, chercheur chez Trend Micro. a dit<\/a> dans une analyse mise \u00e0 jour publi\u00e9e aujourd’hui. <\/p>\n Telerik.Windows.Data.Validation.dll est un fichier applaunch.exe valide sign\u00e9 par Microsoft, qui est vuln\u00e9rable \u00e0 Chargement lat\u00e9ral de DLL<\/a> et est utilis\u00e9 pour charger mscoree.dll qui, \u00e0 son tour, charge mscoree.dll.dat, le Charge utile ShadowPad<\/a>.<\/p>\n Trend Micro a d\u00e9clar\u00e9 que les techniques d’obscurcissement utilis\u00e9es pour dissimuler les DLL et les logiciels malveillants d\u00e9crypt\u00e9s en phase finale sont une \u00e9volution d’une approche pr\u00e9c\u00e9demment expos\u00e9e par Positive Technologies en janvier 2021 dans le cadre d’une campagne de cyberespionnage chinois men\u00e9e par le groupe Winnti (alias APT41).<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n