Les hackers liés à l’État chinois combinent outils automatisés et attaques à main levée

Résumé

Les acteurs liés au gouvernement chinois, soutenus par l’Integrity Technology Group, utilisent une combinaison d’outils de scan automatisés, de botnets à grande échelle et d’exploitation manuelle. Ils ciblent des données sensibles dans les secteurs d’infrastructure critique en utilisant des vulnérabilités dans les applications web et les serveurs Microsoft Exchange. Les acteurs emploient diverses techniques de persistance, de vol d’identifiants et d’exfiltration de données pour atteindre leurs objectifs.

Enquête

L’enquête a été menée par plusieurs agences internationales, y compris le FBI, le CISA, la NSA, et d’autres, sur la base de preuves techniques récupérées lors de plusieurs enquêtes liées à Integrity Technology Group. Les analystes ont observé l’utilisation d’outils personnalisés tels que MicroScan, EBurst, et Curlc4.txt, aux côtés de techniques standard de détournement des ressources locales. Les résultats ont révélé des logiciels malveillants spécifiques comme live700_v1.exe et l’utilisation de SoftEther VPN pour assurer la persistance.

Atténuation

Les organisations doivent prioriser la désactivation des services et ports inutilisés et la désinfection des entrées des applications web pour prévenir les attaques par injection. La mise en œuvre de l’authentification multifactorielle (AMF) pour tous les services et l’adoption de politiques robustes de gestion des identités et des accès (ICAM) est critique. De plus, une mise à jour rapide des logiciels et des micrologiciels est recommandée pour réduire le risque d’exploitation.

Réponse

Dès la détection, les organisations doivent isoler les hôtes compromis et initier des chasses aux menaces pour déterminer l’étendue complète de l’intrusion. Examiner les journaux et artefacts pertinents pour identifier des TTP spécifiques et une chronologie des activités. Mettre en œuvre des contre-mesures d’expulsion de manière systématique en utilisant des playbooks établis pour contenir et éradiquer l’acteur menaçant du réseau.

Exécution de simulation

• Narration d’attaque et commandes : L’adversaire a obtenu un accès initial au poste de travail. Pour maintenir la persistance et échapper à la détection par les analystes du SOC cherchant des binaires inconnus, l’adversaire réalise une technique de « Déguisement ». Ils prennent un exécutable bénin simple (dans ce cas, calc.exe) et le renomment en DiagTrack.exe. Ils exécutent ensuite ce fichier renommé à partir d’un répertoire non standard (C:UsersPublic). Cette action vise à déclencher la règle de détection qui surveille l’exécution de DiagTrack.exe lorsqu’il est utilisé comme un outil de déguisement.

• Script de test de régression :

  # Script de simulation : déguisement en DiagTrack.exe
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Créer un répertoire s'il n'existe pas
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Copier et renommer le binaire pour le déguiser
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Exécuter le binaire déguisé pour déclencher la détection
  Write-Host "[+] Exécution du binaire déguisé : $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Simulation terminée. Vérifiez SIEM pour la détection."

• Commandes de nettoyage :

  # Script de nettoyage
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Nettoyage réussi : $MaliciousName supprimé."
  } else {
      Write-Host "[-] Nettoyage échoué : Fichier non trouvé."
  }