Porte dérobée TinyNote
Le groupe d'États-nations chinois appelé Camaro Dragon a de nouveau été associé à la création d'une nouvelle porte dérobée qui s'aligne sur ses objectifs de collecte de renseignements. Cette porte dérobée, connue sous le nom de TinyNote, est construite à l'aide du langage de programmation Go. Bien que TinyNote ne présente pas des niveaux avancés de sophistication, il compense cela en employant une gamme de stratégies pour assurer un accès persistant aux hôtes compromis.
TinyNote fonctionne comme une charge utile de première étape, principalement axée sur l'énumération de base des machines et l'exécution de commandes à l'aide de PowerShell ou de Goroutines. Le logiciel malveillant utilise plusieurs méthodes pour garder un pied sur le système compromis. Cela comprend l'exécution de plusieurs tâches de persistance et l'utilisation de différentes techniques pour communiquer avec ses serveurs.
L'objectif de la Camaro Dragon semble être de maintenir une présence résiliente et persistante au sein de l'hôte compromis, en maximisant sa capacité à recueillir des renseignements et potentiellement à exécuter d'autres activités malveillantes. Il convient de noter que l'activité de Camaro Dragon chevauche les actions d'un acteur menaçant suivi sous le nom de Mustang Panda par la communauté de la cybersécurité. On pense également que Mustang Panda est un groupe de cybercriminalité chinois parrainé par l'État, avec des signes indiquant qu'il fait preuve de diligence depuis au moins 2012.
La porte dérobée TinyNote est utilisée pour cibler les ambassades du gouvernement
La distribution de la porte dérobée TinyNote implique l'utilisation de noms de fichiers liés aux affaires étrangères, tels que "PDF_ Liste des contacts des membres diplomatiques invités". La campagne d'attaque montre une concentration délibérée sur le ciblage des ambassades d'Asie du Sud-Est et de l'Est.
Un aspect important de ce malware particulier est sa capacité à échapper à la détection par Smadav, une solution antivirus couramment utilisée en Indonésie. Cette capacité démontre la préparation approfondie et les connaissances approfondies des attaquants concernant l'environnement de leurs victimes et la région dans son ensemble.
Le déploiement de la porte dérobée TinyNote montre la nature ciblée des opérations de Camaro Dragon et les recherches approfondies qu'ils entreprennent avant d'infiltrer les systèmes de leurs victimes. En utilisant simultanément cette porte dérobée aux côtés d'autres outils avec différents niveaux de sophistication technique, les acteurs de la menace démontrent leurs efforts actifs pour diversifier leur arsenal d'attaque.
Les cybercriminels continuent d'étendre et de faire évoluer leurs techniques et leur arsenal menaçant
Ces découvertes mettent en lumière les tactiques avancées employées par la Camaro Dragon, soulignant leur approche stratégique et leur engagement à adapter leurs techniques pour maximiser leur efficacité et atteindre leurs objectifs. Le déploiement de TinyNote Backdoor souligne la concentration du groupe sur des cibles spécifiques et ses efforts continus pour garder une longueur d'avance dans le paysage en constante évolution des cybermenaces.
Mustang Panda a attiré l'attention avec le développement d'un implant de micrologiciel personnalisé appelé Horse Shell. Cet implant cible spécifiquement les routeurs TP-Link, les transformant en un réseau maillé qui permet la transmission de commandes entre les serveurs Command-and-Control (C2) et les appareils infectés.
Essentiellement, le but de cet implant est d'obscurcir les activités nuisibles en utilisant des routeurs domestiques compromis comme infrastructure intermédiaire. Ce faisant, les attaquants créent un réseau qui permet aux communications avec les ordinateurs infectés de sembler provenir d'un nœud différent, ajoutant une couche supplémentaire de complexité à leurs opérations.
Les découvertes récentes mettent en évidence non seulement l'avancement et la sophistication des tactiques d'évasion des attaquants, mais aussi la nature en constante évolution de leurs stratégies de ciblage. En outre, les attaquants utilisent une gamme variée d'outils personnalisés conçus pour briser les défenses de différentes cibles, soulignant leur engagement à utiliser une approche globale et adaptative.
Ces développements montrent la complexité et les capacités croissantes des groupes cybercriminels alors qu'ils affinent en permanence leurs techniques et outils pour échapper à la détection et compromettre un large éventail de cibles. L'utilisation de l'implant de micrologiciel Horse Shell illustre leur ingéniosité dans la réaffectation de l'infrastructure existante à des fins menaçantes, amplifiant les défis auxquels sont confrontés les défenseurs pour détecter et atténuer ces menaces sophistiquées.
