mai 6, 2024
La cyber-sécurité

Des pirates chinois utilisent une nouvelle chaîne d'infection furtive pour déployer le logiciel malveillant LODEINFO

Un acteur de la menace parrainé par l'État chinois cible les médias, les organisations diplomatiques, gouvernementales et du secteur public et les groupes de réflexion au Japon

Stone Panda, l'acteur menaçant parrainé par l'État chinois, a été observé en train d'utiliser une nouvelle chaîne d'infection furtive dans ses attaques visant des entités japonaises.

Les cibles incluent les médias, les organisations diplomatiques, gouvernementales et du secteur public et les groupes de réflexion au Japon, selon des rapports jumeaux publiés par Kaspersky.

Stone Panda, également appelé APT10, Bronze Riverside, Cicada et Potassium, est un groupe de cyberespionnage connu pour ses intrusions contre des organisations identifiées comme stratégiquement importantes pour la Chine. L'acteur menaçant serait actif depuis au moins 2009.

La dernière série d'attaques a été observée entre mars et juin 2022. Les attaques observées impliquent l'utilisation d'un faux fichier Microsoft Word et d'un fichier d'archive auto-extractible (SFX) au format RAR propagé via des e-mails de harponnage, conduisant à l'exécution de une porte dérobée appelée LODEINFO.

Des pirates chinois utilisent une nouvelle chaîne d'infection furtive pour déployer LODEINFO Malware
Source des images <a href="/fr/httpssecurelistcomapt10/" tracking down lodeinfo 2022 part i107742>liste sécurisée<a>

Alors que le maldoc oblige les utilisateurs à activer les macros pour activer la killchain, la campagne de juin 2022 s'est avérée abandonner cette méthode au profit d'un fichier SFX qui, lorsqu'il est exécuté, affiche un document Word leurre inoffensif pour dissimuler les activités malveillantes.

La macro, une fois activée, dépose une archive ZIP contenant deux fichiers, dont l'un ("NRTOLF.exe") est un exécutable légitime du logiciel K7Security Suite qui est ensuite utilisé pour charger une DLL malveillante ("K7SysMn1.dll") via DLL Chargement latéral.

Mis à part l'abus de l'application de sécurité, Kaspersky a déclaré avoir également découvert en juin 2022 une autre méthode d'infection initiale dans laquelle un fichier Microsoft Word protégé par mot de passe agissait comme un conduit pour fournir un téléchargeur sans fichier appelé DOWNIISSA lors de l'activation des macros.

"La macro intégrée génère le shellcode DOWNIISSA et l'injecte dans le processus actuel (WINWORD.exe)", a déclaré la société russe de cybersécurité.

DOWNIISSA est configuré pour communiquer avec un serveur distant codé en dur, l'utilisant pour récupérer une charge utile BLOB chiffrée de LODEINFO, une porte dérobée capable d'exécuter un shellcode arbitraire, de prendre des captures d'écran et d'exfiltrer des fichiers vers le serveur.
Le malware, apparu pour la première fois en 2019, a subi de nombreuses améliorations, Kaspersky ayant identifié six versions différentes en mars, avril, juin et septembre 2022.

Les modifications incluent des techniques d'évasion améliorées pour voler sous le radar, l'arrêt de l'exécution sur les machines avec les paramètres régionaux "en_US", la révision de la liste des commandes prises en charge et l'extension de la prise en charge de l'architecture Intel 64 bits.

"Le malware LODEINFO est mis à jour très fréquemment et continue de cibler activement les organisations japonaises", ont conclu les chercheurs.

"Les TTP mis à jour et les améliorations de LODEINFO et des logiciels malveillants associés indiquent que l'attaquant se concentre particulièrement sur la détection, l'analyse

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

fr_BEFrançais de Belgique