Une campagne de cyberattaques en cours en provenance de Chine cible le secteur des jeux d’argent en Asie du Sud-Est pour d\u00e9ployer des balises Cobalt Strike sur des syst\u00e8mes compromis. <\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SentinelOne a d\u00e9clar\u00e9 que les tactiques, techniques et proc\u00e9dures indiquent l’implication d’un acteur de la menace suivi comme Lumi\u00e8re des \u00e9toiles en bronze<\/strong> (alias Emperor Dragonfly ou Storm-0401), qui a \u00e9t\u00e9 li\u00e9 \u00e0 l’utilisation de familles de ran\u00e7ongiciels de courte dur\u00e9e comme \u00e9cran de fum\u00e9e pour dissimuler ses motifs d’espionnage.<\/p>\n “Les acteurs de la menace abusent des ex\u00e9cutables Adobe Creative Cloud, Microsoft Edge et McAfee VirusScan vuln\u00e9rables au piratage de DLL pour d\u00e9ployer des balises Cobalt Strike”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Aleksandar Milenkoski et Tom Hegel. dit<\/a> dans une analyse publi\u00e9e aujourd’hui.<\/p>\n Il convient \u00e9galement de noter que la campagne pr\u00e9sente des chevauchements avec un ensemble d’intrusions surveill\u00e9 par ESET sous le nom d’Op\u00e9ration ChattyGoblin. Cette activit\u00e9, \u00e0 son tour, partage des points communs avec une attaque de la cha\u00eene d’approvisionnement qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e l’ann\u00e9e derni\u00e8re en exploitant un programme d’installation trojanis\u00e9 pour l’application Comm100 Live Chat afin de distribuer une porte d\u00e9rob\u00e9e JavaScript.<\/p>\n L’attribution \u00e0 un groupe pr\u00e9cis reste un d\u00e9fi en raison des relations interconnect\u00e9es et du vaste partage d’infrastructures et de logiciels malveillants qui pr\u00e9vaut entre divers acteurs de l’\u00c9tat-nation chinois.<\/p>\n Les attaques sont connues pour utiliser des programmes d’installation modifi\u00e9s pour les applications de chat afin de t\u00e9l\u00e9charger un chargeur de logiciels malveillants .NET configur\u00e9 pour r\u00e9cup\u00e9rer une archive ZIP de deuxi\u00e8me \u00e9tape \u00e0 partir des compartiments Alibaba.<\/p>\n Le fichier ZIP consiste en un ex\u00e9cutable l\u00e9gitime vuln\u00e9rable \u00e0 Piratage d’ordre de recherche de DLL<\/a>un DLL malveillante charg\u00e9e lat\u00e9ralement<\/a> par l’ex\u00e9cutable au d\u00e9marrage, et un fichier de donn\u00e9es crypt\u00e9 nomm\u00e9 agent.data.<\/p>\n Plus pr\u00e9cis\u00e9ment, cela implique l’utilisation d’ex\u00e9cutables Adobe Creative Cloud, Microsoft Edge et McAfee VirusScan susceptibles d’\u00eatre pirat\u00e9s par DLL pour d\u00e9chiffrer et ex\u00e9cuter le code int\u00e9gr\u00e9 dans le fichier de donn\u00e9es, qui impl\u00e9mente une balise Cobalt Strike.<\/p>\n “Le chargeur est ex\u00e9cut\u00e9 via un chargement lat\u00e9ral par des ex\u00e9cutables l\u00e9gitimes vuln\u00e9rables au piratage de DLL et met en sc\u00e8ne une charge utile stock\u00e9e dans un fichier crypt\u00e9”, ont soulign\u00e9 les chercheurs.<\/p>\n SentinelOne a d\u00e9clar\u00e9 que l’un des chargeurs de logiciels malveillants .NET (“AdventureQuest.exe”) est sign\u00e9 \u00e0 l’aide d’un certificat d\u00e9livr\u00e9 \u00e0 un fournisseur de VPN bas\u00e9 \u00e0 Singapour appel\u00e9 Ivacy VPN, indiquant le vol de la cl\u00e9 de signature \u00e0 un moment donn\u00e9. Digicert a depuis r\u00e9voqu\u00e9<\/a> le certificat \u00e0 partir de juin 2023.<\/p>\n Les fichiers DLL \u00e0 chargement lat\u00e9ral sont des variantes de HUI Loader, un chargeur de logiciels malveillants personnalis\u00e9 qui a \u00e9t\u00e9 largement utilis\u00e9 par des groupes bas\u00e9s en Chine tels que APT10, Bronze Starlight et TA410. On dit que APT10 et TA410 partagent des chevauchements comportementaux et d’outils, le premier \u00e9tant \u00e9galement li\u00e9 \u00e0 un autre cluster appel\u00e9 Earth Tengshe.<\/p>\n “Les acteurs de la menace li\u00e9s \u00e0 la Chine ont toujours partag\u00e9 des logiciels malveillants, des infrastructures et des tactiques op\u00e9rationnelles dans le pass\u00e9, et continuent de le faire”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant que les activit\u00e9s “illustrent la nature complexe du paysage des menaces chinoises”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Industrial-Control-Systems-Vulnerabilities-Soar-Over-One-Third-Unpatched-in-2023.png\")
<\/a><\/center><\/section>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n