Plus d’une douzaine d’entreprises complexes militaro-industrielles et d’institutions publiques en Afghanistan et en Europe ont subi une vague d’attaques ciblées depuis janvier 2022 pour voler des données confidentielles en utilisant simultanément six portes dérobées différentes. La société russe de cybersécurité Kaspersky a attribué les attaques « avec un haut degré de confiance » à un acteur menaçant lié à la Chine suivi par Proofpoint sous le nom de TA428, citant des chevauchements dans les tactiques, techniques et procédures (TTP). TA428, également suivi sous les noms de Bronze Dudley, Temp.Hex et Vicious Panda, a une histoire d’entités frappantes en Ukraine, en Russie, en Biélorussie et en Mongolie. On pense qu’il partage des connexions avec un autre groupe de piratage appelé Mustang Panda (alias Bronze President). Les cibles de la dernière campagne de cyberespionnage comprenaient des usines industrielles, des bureaux d’études et des instituts de recherche, des agences gouvernementales, des ministères et des départements dans plusieurs pays d’Europe de l’Est et en Afghanistan. Les chaînes d’attaque impliquent de pénétrer les réseaux informatiques de l’entreprise à l’aide d’e-mails de phishing soigneusement conçus, y compris certains faisant référence à des informations non publiques relatives aux organisations, pour inciter les destinataires à ouvrir des documents Microsoft Word malveillants.

Ces fichiers leurres sont accompagnés d’exploits pour une faille de corruption de mémoire de 2017 dans le composant Equation Editor (CVE-2017-11882) qui pourrait conduire à l’exécution de code arbitraire dans les systèmes concernés, conduisant finalement au déploiement d’une porte dérobée appelée PortDoor. PortDoor a notamment été employé dans des attaques de spear-phishing montées par des pirates informatiques parrainés par l’État chinois en avril 2021 pour pénétrer dans les systèmes d’un entrepreneur de la défense qui conçoit des sous-marins pour la marine russe.

L’utilisation de six implants différents, a noté Kaspersky, est probablement une tentative de la part des acteurs de la menace d’établir des canaux redondants pour contrôler les hôtes infectés si l’un d’eux était détecté et supprimé des réseaux. Les intrusions culminent lorsque l’attaquant détourne le contrôleur de domaine et prend le contrôle complet de tous les postes de travail et serveurs de l’organisation, tirant parti de l’accès privilégié pour exfiltrer les fichiers d’intérêt sous la forme d’archives ZIP compressées vers un serveur distant situé en Chine. Parmi les autres portes dérobées utilisées dans les attaques, citons nccTrojan, Cotx, DNSep, Logtu et un malware auparavant non documenté appelé CotSam, ainsi nommé en raison de ses similitudes avec Cotx. Chacun fournit des fonctionnalités étendues pour réquisitionner les systèmes et récolter des données sensibles. Ladon est également intégré dans les attaques, un cadre de piratage du mouvement latéral qui permet également à l’adversaire de rechercher des appareils dans le réseau ainsi que d’exploiter les vulnérabilités de sécurité qu’ils contiennent pour exécuter du code malveillant. « Le harponnage reste l’une des menaces les plus importantes pour les entreprises industrielles et les institutions publiques », a déclaré Kaspersky. « Les attaquants ont utilisé principalement des logiciels malveillants de porte dérobée connus, ainsi que des techniques standard de déplacement latéral et d’évasion de la solution antivirus. » « Dans le même temps, ils ont pu pénétrer des dizaines d’entreprises et même prendre le contrôle de l’ensemble de l’infrastructure informatique et des solutions de sécurité informatique de certaines des organisations attaquées. » Les découvertes arrivent un peu plus de deux mois après que les acteurs de Twisted Panda ont été observés ciblant des instituts de recherche en Russie et en Biélorussie pour déposer une porte dérobée dépouillée appelée Spinner.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *