Panda Aquatique (Earth Lusca) : Campagnes, Logiciels Malveillants et TTPs

Résumé

Aquatic Panda est un groupe APT aligné sur la Chine, axé sur la collecte de renseignements et l’espionnage industriel. Le groupe utilise un arsenal de logiciels malveillants diversifié, y compris SprySOCKS, ShadowPad et BIOPASS RAT, pour cibler les industries critiques. Ses opérations impliquent également l’exploitation de vulnérabilités telles que Log4Shell et l’utilisation de rootkits avancés pour rester discret.

Investigation

Le rapport décrit plusieurs campagnes, y compris l’Opération FishMedley et des attaques impliquant des serveurs VMware Horizon. Il examine la conception technique de la porte dérobée SprySOCKS, y compris sa fonctionnalité rootkit en mode noyau et ses caractéristiques de persistance. L’analyse détaille également les TTP spécifiques du groupe pour l’accès initial, l’exécution et l’évasion de la défense.

Atténuation

Les organisations devraient valider leurs défenses contre les techniques connues d’Aquatic Panda en utilisant des plateformes de simulation et de test. Les atténuations clés incluent le correctif des vulnérabilités Log4j telles que CVE-2021-44228 et surveiller les tâches planifiées non autorisées ou les changements suspects de services Windows. Une protection des points d’extrémité robuste est également essentielle pour identifier le chargement de DLL et l’injection de processus.

Réponse

Si une activité Aquatic Panda est détectée, les intervenants devraient isoler immédiatement les systèmes affectés pour stopper le mouvement latéral. Les enquêtes devraient se concentrer sur les changements non autorisés du registre, surtout au niveau des Processors Print ou des paramètres IFEO. L’analyse forensic devrait donner la priorité à la collecte de mémoire des processus suspects et à l’audit des tâches planifiées et des services Windows.

## Exécution de la simulation

Prérequis : La vérification préalable de la télémétrie et de la ligne de base doit avoir été passée.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit doivent refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un diagnostic erroné.

• Narration et commandes d’attaque : Un adversaire a l’intention d’effectuer un creusement de processus pour masquer du code malveillant dans un conteneur de processus légitime. Pour tester si la détection actuelle (bien que défectueuse) se déclenche, l’adversaire lancera powershell.exe à partir d’un répertoire spécifique. Cela simule la phase initiale d’une attaque Living-off-the-Land (LotL) où l’adversaire utilise un outil système standard pour commencer ses activités malveillantes, telles que l’injection de mémoire ou la collecte d’identifiants. L’objectif est de générer un Événement de création de processus où le champ Image contient une barre oblique, comme défini dans la logique de détection.

• Script de test de régression :

   # Simulation d'un lancement de processus qui satisfait à la logique de détection (faible)
    # Ceci mime le début d'une session d'un adversaire en utilisant un outil standard
    $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
    Write-Host "Exécution : $targetProcess"
    Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Simulation Active'"

• Commandes de nettoyage :

   # Aucun changement persistant effectué ; aucun nettoyage requis pour cette simulation.
    Write-Host "Nettoyage de la simulation terminé."