L’acteur prolifique d’\u00c9tat-nation li\u00e9 \u00e0 la Chine connu sous le nom d’APT41 a \u00e9t\u00e9 li\u00e9 \u00e0 deux souches de logiciels espions Android auparavant non document\u00e9es appel\u00e9es WyrmSpy et DragonEgg.<\/p>\n
\u00ab Connu pour son exploitation des applications Web et l’infiltration des terminaux traditionnels, un acteur de menace \u00e9tabli comme APT 41, y compris le mobile dans son arsenal de logiciels malveillants, montre \u00e0 quel point les terminaux mobiles sont des cibles de grande valeur avec des donn\u00e9es d’entreprise et personnelles convoit\u00e9es \u00bb, Lookout a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n APT41, \u00e9galement suivi sous les noms Axiom, Blackfly, Brass Typhoon (anciennement Barium), Bronze Atlas, HOODOO, Wicked Panda et Winnti, est connu pour \u00eatre op\u00e9rationnel depuis au moins 2007, ciblant un large \u00e9ventail d’industries pour mener des vols de propri\u00e9t\u00e9 intellectuelle. .<\/p>\n Les attaques r\u00e9centes mont\u00e9es par le collectif contradictoire ont tir\u00e9 parti d’un outil d’\u00e9quipe rouge open source connu sous le nom de Google Command and Control (GC2) dans le cadre d’attaques visant les m\u00e9dias et les plateformes d’emploi \u00e0 Ta\u00efwan et en Italie.<\/p>\n Le vecteur d’intrusion initial de la campagne de surveillanceware mobile n’est pas connu, bien qu’il soit soup\u00e7onn\u00e9 d’avoir impliqu\u00e9 l’utilisation de l’ing\u00e9nierie sociale. Lookout a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 pour la premi\u00e8re fois WyrmSpy d\u00e8s 2017 et DragonEgg au d\u00e9but de 2021, avec de nouveaux \u00e9chantillons de ce dernier rep\u00e9r\u00e9s aussi r\u00e9cemment qu’en avril 2023.<\/p>\n WyrmSpy se fait principalement passer pour une application syst\u00e8me par d\u00e9faut utilis\u00e9e pour afficher des notifications \u00e0 l’utilisateur. Cependant, des variantes ult\u00e9rieures ont int\u00e9gr\u00e9 le logiciel malveillant dans des applications se faisant passer pour du contenu vid\u00e9o pour adultes, Baidu Waimai et Adobe Flash. D’autre part, DragonEgg a \u00e9t\u00e9 distribu\u00e9 sous la forme de claviers Android tiers et d’applications de messagerie comme Telegram.<\/p>\n Il n’y a aucune preuve que ces applications malveillantes ont \u00e9t\u00e9 distribu\u00e9es via le Google Play Store.<\/p>\n Les connexions de WyrmSpy et DragonEgg \u00e0 APT41 r\u00e9sultent de l’utilisation d’une commande et d’un serveur (C2) avec l’adresse IP 121.42.149[.]52, qui se r\u00e9sout en un domaine (“vpn2.umisen[.]com”) pr\u00e9c\u00e9demment identifi\u00e9 comme associ\u00e9 \u00e0 l’infrastructure du groupe.<\/p>\n Une fois install\u00e9es, les deux souches de logiciels malveillants demandent des autorisations intrusives et sont \u00e9quip\u00e9es de capacit\u00e9s sophistiqu\u00e9es de collecte et d’exfiltration de donn\u00e9es, r\u00e9coltant les photos, les emplacements, les messages SMS et les enregistrements audio des utilisateurs.<\/p>\n Le logiciel malveillant a \u00e9galement \u00e9t\u00e9 observ\u00e9 en s’appuyant sur des modules qui sont t\u00e9l\u00e9charg\u00e9s \u00e0 partir d’un serveur C2 d\u00e9sormais hors ligne apr\u00e8s l’installation de l’application pour faciliter la collecte de donn\u00e9es, tout en \u00e9vitant simultan\u00e9ment la d\u00e9tection.<\/p>\n WyrmSpy, pour sa part, est capable de d\u00e9sactiver Security-Enhanced Linux (SELinux), une fonctionnalit\u00e9 de s\u00e9curit\u00e9 d’Android, et d’utiliser des outils d’enracinement tels que KingRoot11 pour obtenir des privil\u00e8ges \u00e9lev\u00e9s sur les combin\u00e9s compromis. Une caract\u00e9ristique notable de DragonEgg est qu’il \u00e9tablit un contact avec le serveur C2 pour r\u00e9cup\u00e9rer un module tertiaire inconnu qui se pr\u00e9sente comme un programme m\u00e9dico-l\u00e9gal.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n