Acteurs liés à la Chine Maintiennent leur Attention sur les Organisations Influentes en Politique Américaine

Analyse

Des groupes de menaces liés à l’État chinois tels que APT41, Kelp (Salt Typhoon), Space Pirates et le sous-groupe Earth Longzhi ont mené une intrusion en plusieurs étapes contre une organisation à but non lucratif américaine influençant la politique gouvernementale. Les attaquants ont effectué un balayage initial pour des exploits connus (par ex., CVE‑2022‑26134, CVE‑2021‑44228, CVE‑2017‑9805, CVE‑2017‑17562), utilisé curl pour tester la connectivité, collecté des données réseau avec netstat, créé des tâches planifiées pour la persistance, effectué un chargement par DLL parallèle via le composant légitime VipreAV vetysafe.exe, et employé des outils comme Dcsync et Imjpuexc. La campagne visait à maintenir un accès furtif à long terme et potentiellement compromettre les contrôleurs de domaine.

Enquête

L’enquête a identifié une série de techniques ATT&CK : Reconnaissance (T1595) via un balayage massif pour des services vulnérables ; Accès initial (T1190) en utilisant des exploits CVE‑2022‑26134, CVE‑2021‑44228, CVE‑2017‑9805, CVE‑2017‑17562 ; Commande et contrôle testés avec des requêtes curl vers des sites externes (https://www.google.com , https://www.microsoft.com , etc.) ; Découverte (T1049) en utilisant netstat pour énumérer les connexions réseau ; Persistance (T1053) via une tâche planifiée créée avec schtasks /create /tn MicrosoftWindowsRasOutbound ; Évasion de la défense (T1574.002) via le chargement par DLL parallèle de sbamres.dll via vetysafe.exe ; Accès aux identifiants (T1003) en utilisant Dcsync pour répliquer les données de l’annuaire ; Exécution (T1059) du chargeur personnalisé et Imjpuexc. Les outils observés comprenaient des utilitaires Windows légitimes (netstat, schtasks), curl, msbuild.exe, vetysafe.exe (VipreAV), sbamres.dll, Dcsync, Imjpuexc, et un chargeur chiffré personnalisé. Les indicateurs de compromission (IOC) tels que les valeurs de hachage pour sbamres.dll, imjpuexc.exe et le trafic réseau vers hxxp://38.180.83[.]166/6CDF0FC26CDF0FC2 ont été enregistrés.

Atténuation

• • Corrigez immédiatement tous les logiciels vulnérables, en particulier les produits Atlassian (CVE‑2022‑26134), Log4j (CVE‑2021‑44228), Apache Struts (CVE‑2017‑9805) et GoAhead (CVE‑2017‑17562).
• • Mettez en œuvre un contrôle des applications (par exemple, AppLocker, Contrôle des applications de Windows Defender) pour bloquer l’exécution non autorisée des utilitaires courants tels que curl, msbuild.exe et les chargeurs personnalisés provenant de répertoires non standard.
• • Appliquez des politiques strictes de moindre privilège ; restreignez la création de tâches planifiées aux administrateurs autorisés uniquement. Déployez des règles de détection du chargement par DLL parallèle et surveillez l’exécution de binaires légitimes connus chargeant des DLL inattendues (par exemple, vetysafe.exe chargeant sbamres.dll).
• • Activez la surveillance de l’activité Dcsync et des demandes de réplication anormales sur les contrôleurs de domaine.
• Segmentez les réseaux pour limiter les mouvements latéraux et isolez les actifs critiques tels que les contrôleurs de domaine.
• • Effectuez des analyses de vulnérabilités régulières et une prévention des exploits pilotée par le renseignement sur les menaces basée sur les CVE émergents.
•  

Réponse

• • Isolez le(s) hôte(s) compromis et tous les systèmes présentant des IOC similaires.
• • Capturez la mémoire volatile et les images de disque pour une analyse forensique.
• • Supprimez les tâches planifiées malveillantes et supprimez les fichiers XML inconnus utilisés par msbuild.exe.
• • Remplacez ou nettoyez les binaires compromis (vetysafe.exe, msbuild.exe) et vérifiez les signatures.
• • Faites tourner les identifiants, en particulier pour les comptes privilégiés et les comptes d’administrateur de domaine ; audit pour l’exfiltration des identifiants.
• • Bloquez le trafic sortant C2 vers l’hôte malveillant (hxxp://38.180.83[.]166).
• • Effectuez un audit complet des contrôleurs de domaine pour vous assurer qu’aucune porte dérobée ou mécanisme de persistance ne subsiste.
• • Mettez à jour les signatures de détection dans les outils SIEM et endpoint pour les outils et IOC observés.
•  

Instructions de simulation

• Narratif et commandes d’attaque :

  1. Persistance via msbuild.exe – L’attaquant construit un projet XML malveillant (evil.xml) qui exécute une charge utile PowerShell pour télécharger une DLL porte‑dérrière.
  2. Chargement par DLL parallèle avec vetysafe.exe – Une DLL malveillante (evil.dll) est placée aux côtés de vetysafe.exe; l’exécution de vetysafe.exe charge la DLL, réalisant l’exécution de code (T1055.001/T1574.001).
  3. Reconnaissance réseau avec netstat.exe – L’attaquant exécute netstat -ano pour énumérer les connexions actives, collectant des données pour des mouvements latéraux (T1049).

• Script de test de régression :

  # ---------------------------------------------------------
  # Simulation d'attaque – déclenche la règle Sigma pour vetysafe, msbuild, netstat
  # ---------------------------------------------------------
  
  # 1. Préparez la DLL malveillante (alerte simple pour démonstration)
  $dllPath = "$env:TEMPevil.dll"
  Set-Content -Path $dllPath -Value ([byte[]](0x4D,0x5A,0x90,0x00)) # Entête PE faux
  
  # 2. Copiez vetysafe.exe (supposé présent dans C:WindowsSystem32) vers le dossier temporaire
  $vetysafe = "$env:SystemRootSystem32vetysafe.exe"