Tout d’abord dans le résumé de cette semaine, CTI examine en profondeur un rapport de Sophos sur une nouvelle opération de ransomware en tant que service (RaaS) qui tire parti du nom de l’entreprise pour son propre bénéfice. Ensuite, vous découvrirez comment l’acteur malveillant FIN8 financièrement motivé utilise désormais une porte dérobée Sardonic modifiée pour fournir un ransomware BlackCat et maximiser les bénéfices. Enfin, CTI explore comment les groupes chinois de cyberespionnage évoluent pour minimiser la détection et compliquer l’attribution.
1. SophosEncrypt ransomware usurpe l’identité de la société de cybersécurité Sophos
Un récentrapport de la société de cybersécurité, Sophos, écrit en réponse à une découverte rendue publique par un 17 juillet tweet de MalwareHunterTeam, expose une nouvelle opération de ransomware en tant que service (RaaS) appelée SophosEncrypt qui tire parti du nom de l’entreprise pour son propre bénéfice.
Au début, le ransomware aurait été considéré comme faisant partie d’un exercice d’équipe rouge effectué par Sophos. Cependant, l’équipe X-Ops de Sophos a rapidement répondu au tweet ci-dessus, en remerciant MalwareHunterTeam pour ses conseils et en divulguant que ses chercheurs avaient déjà découvert un échantillon du ransomware sur VirusTotal plus tôt ce jour-là.
BleepingComputer signale que le service ID Ransomware de MalwareHunterTeam affiche une soumission d’une victime infectée par le nouveau logiciel malveillant, une indication claire que l’opération RaaS est active. Bien que les chercheurs n’en sachent toujours pas beaucoup sur l’opération et sa méthode de promotion, un échantillon du chiffreur a été trouvé par MalwareHunterTeam, ce qui leur a permis d’obtenir un « aperçu rapide de son fonctionnement ».
Qu’est-ce que SophosEncrypt ?
Le nouvel échantillon en question a été découvert par un analyste Sophos X-Ops lors d’une recherche régulière de VirusTotal. L’analyste a remarqué que la variante utilise « Sophis » dans l’IU d’un panel utilisé par son ransomware pour alerter ses victimes que leurs fichiers ont été cryptés. Il semblait également ajouter des fichiers cryptés avec l’extension « .sophos ».
En ce qui concerne l’exécutable réel du ransomware, les chercheurs de Sophos ont pu déterminer qu’il avait été compilé à l’aide de MinGW et qu’il contenait des bibliothèques Rust liées. Sophos le décrit également comme étant « inhabituellement rétro » en termes de fonctionnalité.
Depuis Sophos :
« Dans la plupart des incidents de rançongiciels contemporains, les acteurs malveillants qui construisent le rançongiciel constituent un outil qui est explicitement et exclusivement conçu dans le but de chiffrer les fichiers, sans inclure beaucoup d’autres fonctionnalités. La plupart des rançongiciels que nous traitons aujourd’hui sont un exécutable à usage unique qui n’apporte pas beaucoup ou aucune capacité supplémentaire.
Selon toutes les indications, les enregistrements VirusTotal sur ces fichiers semblent indiquer, et notre analyse confirme, que l’un des échantillons a la capacité de faire beaucoup de choses au-delà du cryptage des fichiers, ce qui est inhabituel. »
Les chercheurs vont jusqu’à prétendre que lescapacités des fichiers du logiciel malveillant le rendent plus conforme à un cheval de Troie d’accès à distance (RAT) à usage général équipé de la capacité de chiffrer les fichiers et de générer des notes de rançon, qu’avec une variante de rançongiciel typique et contemporaine.
Ces activités comprennent l’accrochage du pilote du clavier pour la journalisation des frappes et le profilage du système à l’aide des commandes WMI. Cependant, comme tant d’autres familles de rançongiciels, SophosEncrypt dispose d’une liste de répertoires à exclure du chiffrement (car ils entraveraient la capacité du système à démarrer ou contiendront des fichiers sans importance jugés inutiles à chiffrer). Et comme tant de familles de rançongiciels, SophosEncrypt effectue la vérification habituelle des paramètres de langue du système, refusant d’exécuter s’il détermine les paramètres à configurer pour utiliser la langue russe.
Pour faciliter les négociations de rançon, les développeurs du rançongiciel préfèrent que ses victimes utilisent des méthodes de communication qui ne sont, pour la plupart, plus utilisées par la plupart des tenues de rançongiciel actuelles. Voici quelques exemples : la messagerie électronique et la plateforme de messagerie instantanée Jabber.
Explorer les différences d’échantillons
Le rapport Sophos fait référence à un autre échantillon connu qui contient moins de fonctionnalités non rançongiciels décrites ci-dessus. Cela dit, les deux variantes se connectent sur Internet à un serveur de commande et de contrôle (C2), la connexion faisant référence à une adresse Tor sur le dark web (bien que Sophos reconnaisse qu’aucun des échantillons analysés n’a effectué de connexion Tor).
De plus, les deux échantillons contiennent une adresse IP codée en dur à laquelle les échantillons se connectent. Selon Sophos, l’adresse en question est associée depuis plus d’un an à l’activité Cobalt Strike C2 et aux attaques automatisées qui tentent d’infecter les appareils publics avec un logiciel d’extraction cryptographique.
Les deux échantillons sont conçus pour être exécutés via la ligne de commande Windows. Lorsqu’il est exécuté dans l’application Invite de commande, le ransomware invite l’opérateur du ransomware à saisir une chaîne d’informations qui entraîne la configuration du comportement du malware, ainsi que la note de rançon qu’il finit par tomber sur l’appareil de la victime.
Selon Sophos, le programme invite également son responsable du traitement à saisir un mot de passe crypté à 32 caractères, suivi de ce qui semble être un jeton ainsi qu’une adresse e-mail et une adresse de compte de messagerie instantanée Jabber. Une fois que l’attaquant a saisi les informations avec succès, le programme invite l’automate à sélectionner l’une des options suivantes :
- Chiffrez tous les fichiers sur le disque dur.
- Chiffrez une lettre de lecteur unique.
- Quittez le programme.
Si l’attaquant choisit la première ou la deuxième option, le ransomware renomme les fichiers cryptés à l’aide de la valeur du jeton dans le nom de fichier renommé une fois la tâche de cryptage terminée.
L’adresse e-mail spécifiée et l’adresse Jabber sont toutes deux ajoutées à la note de rançon, qui va à la victime sous la forme d’un fichier d’application HTML (.hta) déposé dans n’importe quel répertoire dans lequel le cryptage a réussi.
Ce fichier affiche simplement la note de rançon, avec les coordonnées fournies par l’attaquant pendant l’étape initiale de l’attaque.
Comme c’est le cas avec la première variante décrite ci-dessus, le ransomware ajoute un identifiant de machine unique, l’adresse e-mail saisie par l’attaquant pendant la configuration et le suffixe « .sophos » à la fin du nom de chaque fichier qu’il chiffre à la fin du processus.
Sophos note également que si le processus de chiffrement est interrompu, le ransomware ne laissera pas de note de rançon ou ne modifiera pas l’image du fond d’écran à celle qu’il est configuré pour récupérer sur le serveur d’images public. Autrement, en supposant que le processus de chiffrement se déroule sans accroc, le ransomware récupère un graphique sur un site Web public de bibliothèque d’images, l’utilisant pour modifier le fond d’écran du bureau Windows de la victime, le modifiant en un écran qui indique « Sophis ». De plus, la bannière Sophos ornant désormais le bureau de la victime ne parvient pas à reproduire avec précision le logo, les couleurs ou la marque utilisés par la société de cybersécurité légitime. Au lieu de cela, la victime reçoit un logo comportant une image d’un cadenas vert, accompagné d’instructions sur la manière dont la victime peut trouver et utiliser la note de rançon pour contacter les attaquants et entamer des négociations.
Enregistrer ses propres performances
Lorsque SophosEncrypt s’exécute dans la console, il produit une liste complète détaillant les résultats de la journalisation de débogage et rapporte le temps nécessaire pour chiffrer chaque fichier en millisecondes. Étrangement, le ransomware signalera « RÉUSSITE » même lorsque la solution de sécurité Sophos Intercept X empêche le chiffrement des fichiers.
Un aperçu des propriétés de l’exécutable de ransomware révèle qu’il s’agit des « versions 0,0,8 et 0,0,9, respectivement, du programme. Aucun exécutable n’est signé, et les deux invitent à l’élévation via UAC lorsqu’elles sont exécutées. »
À propos du jeton du ransomware
Comme l’explique Sophos, le jeton entre en jeu lorsque le ransomware effectue un peu de profilage système sur l’ordinateur. Il récupère l’adresse IP publique pour le réseau de la cible et effectue une demande HTTP POST à l’adresse IP 179,43,154[.]137 sur le port 21119/tcp qui transmet le jeton et les informations de profilage sur l’ordinateur. La session n’est pas cryptée.
Si le serveur n’accepte pas la valeur du jeton, l’application émettra un message d’erreur dans la console indiquant que le jeton n’est pas valide. À ce stade, l’application va quitter. Si le rançongiciel s’exécute sur un ordinateur hors ligne, il affiche « utilisation locale du programme » et passe au fonctionnement, invitant l’utilisateur à saisir un mot de passe et des coordonnées de 32 octets avant le chiffrement.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Ce n’est pas la première fois que le nom d’une entreprise de sécurité apparaît dans un logiciel malveillant d’un adversaire. Ce n’est pas un développement surprenant car nous avons observé des acteurs malveillants imitant des chercheurs en sécurité et créant de fausses entreprises de cybersécurité pour attirer des talents pirates et collecter des informations.
Dans cette optique, se faire passer pour un logiciel d’entreprise de cybersécurité semble être la prochaine progression logique. Selon BleepingComputer, les chercheurs analysent toujours SophosEncrypt pour déterminer si des faiblesses peuvent permettre la récupération gratuite des fichiers cryptés. »
2. FIN8 utilise le backdoor Sardonic modifié pour les ransomwares BlackCat
Un nouveau rapport Symantec révèle comment l’acteur malveillant FIN8 financièrement motivé utilise une version remaniée d’une porte dérobée appelée Sardonic pour fournir un ransomware BlackCat. Les chercheurs de Symantec estiment que ce développement est FIN8’s tentatives pour diversifier son orientation et maximiser ses bénéfices.
À propos de FIN8
- FIN8 est un groupe de menaces motivé financièrement qui est actif depuis au moins janvier 2016. Le groupe cible les organisations des secteurs de l’hôtellerie, de la vente au détail, du divertissement, de l’assurance, de la technologie, des produits chimiques et de la finance.
- Le groupe a historiquement utilisé des tactiques de vie hors des terres, en utilisant des outils intégrés tels que PowerShell et WMI. Ses méthodes d’accès initiales préférées sont l’ ingénierie sociale et le spear phishing.
- FIN8 se sont initialement spécialisées dans les attaques de PDV (point de vente), mais ont depuis été observées en utilisant différentes menaces de ransomware dans ses attaques. Par exemple, en juin 2021, FIN8 ont été observés en train de déployer le ransomware Ragnar Locker sur des appareils qu’il avait compromis dans une société de services financiers plus tôt dans l’année. En janvier 2022, le groupe a été observé en train d’exploiter le ransomware White Rabbit dans le cadre d’attaques. Puis, en décembre 2022, Symantec a observé le groupe tenter de déployer le ransomware BlackCat dans ses attaques.
Comment FIN8 utilise les backdoors
FIN8 a des antécédents de pauses prolongées entre ses attaques, susceptibles d’améliorer ses tactiques, techniques et procédures (TTP). En 2021, Bitdefender a publié les détails de la nouvelle backdoor Sardonic et l’a liée à FIN8. Le backdoor Sardonic peut collecter des informations système et exécuter des commandes. Il dispose également d’un plug-in pour charger/exécuter des charges utiles de logiciels malveillants supplémentaires qui sont fournies sous forme de DLL.
L’ décembre 2022 attaque que Symantec a observée a utilisé un backdoor retravaillé pour déployer le ransomware BlackCat. Bien que le backdoor sardonique utilisé dans cette campagne partage des fonctionnalités avec le backdoor analysé par Bitdefender, la plupart du code du backdoor a été réécrit, ce qui lui donne une nouvelle apparence. Plus particulièrement, le code n’utilisait plus la bibliothèque standard C++, et la plupart des fonctionnalités orientées objet ont été remplacées par une implémentation C simple.
Activité des attaquants
Pendant l’ décembre 2022 incident, l’acteur malveillant s’est connecté à PsExec pour exécuter la commande « plus rapide » et afficher les détails de la session. Il a ensuite exécuté une commande PowerShell supplémentaire pour lancer le backdoor. L’acteur malveillant s’est connecté au backdoor et a vérifié les détails de l’ordinateur affecté avant d’exécuter une commande pour établir la persistance.
Le lendemain, l’acteur malveillant s’est connecté au backdoor désormais persistant, mais a mis en pause l’activité après avoir exécuté quelques commandes simples. Trente minutes plus tard, l’activité a repris et l’acteur malveillant a utilisé wmiexec.py d’Impacket pour lancer un processus de lancement d’une nouvelle porte dérobée. Cette nouvelle porte dérobée a été utilisée au cours des prochaines heures. Le nouveau script PowerShell backdoor utilise un nouveau nom de fichier et simplifie la ligne de commande en supprimant l’argument de clé de décryptage.
Script PowerShell
Une différence clé entre cette attaque et les FIN8 attaques précédentes est la technique utilisée pour déployer le backdoor.
Dans ce cas, la porte dérobée a été intégrée indirectement dans un script PowerShell et utilisée pour infecter les machines cibles. Le script PowerShell de cette campagne comporte quelques éléments clés. La première ligne du script est destinée à supprimer le fichier de script PowerShell lui-même. La deuxième ligne vérifie l’architecture du processus actuel avant de choisir la version 32 bits ou 64 bits du chargeur .NET codé. La troisième ligne décode le chargeur binaire .NET et le charge dans le processus actuel. La dernière ligne de code démarre la fonctionnalité principale du chargeur, où l’injecteur et le backdoor sont décryptés.
- Chargeur .NET : le chargeur est un fichier DLL .NET masqué et contient deux blobs. Les blobs sont décryptés avec l’algorithme RC4 à l’aide d’une clé de décryptage codée en dur avant la décompression. Les blobs décompressés sont ensuite copiés dans un morceau de mémoire continu. Le chargeur transfère ensuite le contrôle à la deuxième blob, l’injecteur, passant l’emplacement de mémoire et la taille de la première blob, la porte arrière, comme paramètres.
- Injecteur : l’injecteur est sous forme de shellcode. L’objectif de cet injecteur est d’initier le backdoor dans un processus WmiPrvSE.exe nouvellement créé. Lors de la création de ce processus, l’injecteur tentera de le démarrer dans la session 0 à l’aide d’un jeton qu’il vole au processus lsass.exe.
La porte dérobée Sardonic
Le backdoor Sardonic est également sous forme de shellcode.
- Sessions interactives : une fonctionnalité intéressante de ce backdoor est liée aux sessions interactives, où l’attaquant exécute cmd.exe ou d’autres processus interactifs sur l’appareil affecté. L’échantillon autorise jusqu’à 10 sessions à annuler en même temps. Lors du démarrage de chaque processus individuel, l’acteur malveillant peut utiliser un jeton de processus volé à partir d’un ID de processus spécifié qui est différent pour chaque session.
- Extensions : une autre caractéristique notable du backdoor est sa prise en charge de trois formats différents pour étendre sa fonctionnalité. Le premier format est avec les plug-ins PE DLL que le backdoor charge dans son propre processus. Le second format que le backdoor prend en charge est sous forme de shellcode, où chaque plug-in s’exécute dans son propre processus dédié. Le troisième format est également sous forme de shellcode, mais avec une convention différente pour transmettre les arguments.
- Communication réseau : pour communiquer avec son serveur de commande et de contrôle (C2), la porte dérobée échangera des messages de taille variable à l’aide de la structure ci-dessous. La taille du champ de corps peut être déterminée à partir du contenu du champ d’en-tête.
- Message initial : une fois que la porte dérobée se connecte à son serveur C2 , elle enverra le message initial de 0x10C octets avec la valeur du champ d’en-tête 0xFFFFFCC0 (codé en dur) et le champ de pied de page laissé non initialisé.
- taille du corps est 0x80 pour chaque message entrant avec une valeur de champ d’en-tête de 0xFFFFFE78 (codé en dur), et
- la taille du corps est simplement la valeur du champ d’en-tête dans tous les autres cas.
Le contenu des champs de corps et de pied de page est crypté avec RC4 en utilisant rc4_key comme clé de cryptage. Le flux de clés est réutilisé lors du chiffrement de chaque champ individuel.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
“FIN8 continue clairement à améliorer ses capacités en affinant et en mettant à jour ses TTP. L’utilisation par le groupe d’une porte dérobée Sardonic modifiée plusieurs mois après l’émergence de la porte dérobée prouve encore davantage le raffinement et la mise à jour réguliers.
Comme le souligne Symantec, le passage des attaques de PDV au déploiement de ransomware souligne son dévouement et son intérêt à maximiser les bénéfices. »
3. Les acteurs chinois de cyberespionnage font évoluer les tactiques pour éviter la détection
Mandiant suit de multiples façons l’évolution des groupes chinois de cyberespionnage afin de minimiser les opportunités de détection et de compliquer l’attribution. Selon leur analyse, les groupes chinois exploitent les zero-days, ciblent les routeurs et utilisent d’autres méthodes de relais et de dissimulation du trafic interne et externe vers les réseaux de leurs victimes.
Chine axée sur les logiciels de mise en réseau, de sécurité et de virtualisation
Mandiant estime qu’en 2021 et 2022, l’exploitation zero-day du cyberespionnage chinois se concentrait sur les technologies de sécurité, de mise en réseau et de virtualisation.
Le ciblage de ces appareils offre de nombreux avantages tactiques à un acteur malveillant. Étant donné que les appareils de sécurité et de réseau sont des appareils Edge, ce qui signifie qu’ils sont accessibles à Internet, un acteur malveillant peut obtenir un accès initial à ceux-ci sans nécessiter d’interaction humaine. Cela réduit les chances d’être détecté.
Comme Mandiant le souligne, les appareils Edge et les logiciels de virtualisation peuvent être plus difficiles à surveiller. Certains peuvent ne pas prendre en charge les solutions EDR, ce qui réduit davantage la probabilité de détection. Deux campagnes relativement récentes mettent en évidence les stratégies notables que les acteurs chinois de la menace ont utilisées pour maximiser la furtivité.
UNC3886 brûle deux zero-days dans des opérations complexes contre des cibles difficiles
Mandiant a enquêté sur des incidents en 2022 où l’acteur de cyberespionnage UNC3886 a utilisé plusieurs chemins d’attaque et deux zero-days pour établir la persistance et accéder à des environnements virtualisés. Cet acteur malveillant ciblait principalement les bases industrielles, les technologies et les organisations de télécommunications de défense aux États-Unis et en Asie.
Cet acteur malveillant a limité sa présence sur les réseaux aux appareils de sécurité Fortinet et aux technologies, appareils et plateformes de virtualisation VMware qui manquent traditionnellement de solutions EDR. Les logiciels malveillants et exploits personnalisés de l’acteur malveillant ont donné la priorité au contournement des journaux/contrôles de sécurité et effaceraient et modifieraient les journaux et désactiveraient la vérification du système de fichiers au démarrage.
UNC4841’s L’exploitation de Barracuda ESG commence furtivement, devient agressive
L’acteur chinois suspecté de cyberespionnage UNC4841 a exploité une vulnérabilité zero-day dans les appliances ESG Barracuda au cours d’une campagne ciblant des organisations publiques et privées à travers le monde. Dans plusieurs cas, Mandiant a vu des preuves de l’acteur recherchant des données d’intérêt par e-mail avant de les mettre en scène pour l’exfiltration.
L’acteur malveillant cherchait à dissimuler des éléments de son activité de plusieurs manières.
- L’acteur malveillant a envoyé des e-mails avec des fichiers TAR spécialement conçus qui ont exploité la vulnérabilité de Barracuda, permettant à l’acteur malveillant d’exécuter des commandes système arbitraires avec les privilèges élevés du produit ESG.
- Le groupe a également développé des logiciels malveillants personnalisés à l’aide de conventions de dénomination similaires aux fichiers ESG légitimes avant d’insérer un code backdoor personnalisé dans des modules Barracuda légitimes.
- Dans certains cas, l’acteur malveillant a tiré parti de certificats temporaires SSL auto-signés légitimes qui sont expédiés sur des appliances ESG à des fins de configuration, ainsi que de certificats volés dans les environnements victimes pour masquer le trafic C2 .
L’acteur malveillant a eu une réponse assez agressive aux efforts de remédiation et à l’activité qui est devenue publique. Après la divulgation de la vulnérabilité de Barracuda et la prise de mesures correctives initiales, l’acteur malveillant a contrecarré cela en travaillant rapidement à modifier ses logiciels malveillants personnalisés, en employant des mécanismes de persistance supplémentaires et en se déplaçant latéralement pour maintenir l’accès.
Exemples supplémentaires
Les deux incidents décrits ci-dessus ne sont qu’une petite partie d’une liste croissante de campagnes chinoises de cyberespionnage exploitant les zero-days dans les produits de sécurité et de réseautage.
- Mandiant a signalé l’exploitation de CVE-2022-42475 (une vulnérabilité dans FortiOS SSL-VPN de Fortinet), les premières preuves datant de octobre 2022.
- En décembre 2022, Citrix a signalé l’exploitation infaillible de CVE-2022-27518 dans son contrôleur de mise à disposition d’applications (ADC), que l’Agence nationale de sécurité américaine (NSA) a attribuée à APT5.
- En mars 2022, Sophos a signalé une exploitation infaillible de CVE-2022-1040 dans son produit de pare-feu, que Volexity a liée aux acteurs chinois du cyberespionnage.
- Mandiant a enquêté sur plusieurs intrusions qui se sont produites entre août 2020 mars 2021 et impliquaient l’exploitation de CVE-2021-22893 dans les VPN Pulse Secure.
- En mars 2021, Mandiant a identifié trois vulnérabilités zero-day qui ont été exploitées dans le produit Email Security (ES) de SonicWall (CVE-2021-20021, CVE-2021-20022, CVE-2021-20023). “
Les acteurs chinois dissimulent le trafic externe et interne avec des botnets et des tunnels
Mandiant identifie plus fréquemment des exemples d’opérations chinoises de cyberespionnage exploitant des botnets d’appareils IoT, d’appareils intelligents et de routeurs compromis pour dissimuler le trafic externe entre l’environnement victime et l’infrastructure C2 .
Ils observent également de plus en plus l’utilisation de plusieurs familles de logiciels malveillants qui peuvent discrètement relayer le trafic des attaquants au sein d’un réseau compromis. Ces tactiques sont probablement utilisées pour échapper à la détection et rendre l’attribution plus difficile.
Botnet-as-smokescreen
Les chercheurs ont identifié plusieurs exemples de groupes chinois de cyberespionnage tirant parti des botnets pour masquer le trafic entre l’acteur malveillant et le réseau victime. Cette activité a été observée menée par APT41, APT31, APT15, TEMP.hex et Volt Typhoon, et d’autres.
Voici quelques exemples :
- En mai 2023, Microsoft a publié un rapport sur l’ activité du typhon Volt ciblant les organisations d’infrastructures critiques aux États-Unis. L’acteur malveillant a utilisé un botnet d’appareils SOHO compromis pour acheminer son trafic réseau.
- En 2023, Check Point a analysé l’acteur malveillant Camaro Dragon et son utilisation d’une porte dérobée personnalisée appelée Horse Shell. Cette activité ciblait les organisations européennes des affaires étrangères et permettait à l’acteur malveillant d’établir un proxy SOCKS chiffré SSH et des fichiers de transfert.
- En 2022, PwC a signalé des logiciels malveillants BPFDOOR qui ont reçu des commandes de VPS qui étaient contrôlées par un réseau de routeurs compromis basés à Taïwan. Mandiant pense que cette activité est liée à celle de APT41.
- PwC a également rapporté son observation de Red Vulture et son utilisation d’un réseau proxy partagé, appelé RedRelay en 2021 et 2022. Ce groupe correspond prétendument à APT15, APT25 et Ke3chang.
- Les autorités françaises et américaines ont publié des rapports publics soulignant l’exploitation des appareils réseau par les acteurs parrainés par l’État chinois pour acheminer le trafic entre C2 infrastructures et les réseaux victimes. Le conseil américain 2022 a fait appel à l’ exploitation des appareils NAS (Network Attached Storage ). Le conseil français 2021 a décrit une campagne spécifique attribuée à APT31.
- ESET a rapporté son observation d’une backdoor Linux, SideWalk, qui a été utilisée pour compromettre une université de Hong Kong en février 2021. Mandiant attribue la majeure partie de cette activité à APT41.
Mandiant a également observé des preuves d’opérateurs de cyberespionnage chinois suspectés de déployer des logiciels malveillants personnalisés pour dissimuler le trafic au sein des réseaux victimes en utilisant le piratage DNS, HTTP et TCP/IP.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La plupart des tactiques ci-dessus ne sont pas nouvelles pour les acteurs chinois du cyberespionnage, et ne sont pas uniques à ces acteurs. Mandiant a compilé ces informations dans le but de mettre en évidence la manière dont les cyberespionneurs chinois utilisent ces tactiques dans le cadre d’une « évolution plus large vers des opérations plus ciblées, furtives et efficaces ».
Les incidents que Mandiant détaille ci-dessus sont tous des campagnes réussies. Cela indique que l’investissement de ces acteurs dans l’évolution des TTP pour éviter la détection fonctionne. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
