Comment APT40 de Chine s’adapte-t-il si rapidement pour attaquer en cybersécurité ?

APT40, un groupe de hackers basé en Chine, se distingue par sa capacité remarquable à s’adapter rapidement pour mener des attaques en cybersécurité. Leur agilité et leur expertise leur permettent de contourner les défenses des organisations ciblées, posant ainsi un défi constant pour les professionnels de la sécurité informatique.

APT40 : Un groupe d’espionnage cybernétique redoutable

Les agences de cybersécurité d’Australie, du Canada, d’Allemagne, du Japon, de Nouvelle-Zélande, de Corée du Sud, du Royaume-Uni et des États-Unis ont publié un avis conjoint concernant un groupe de cyber-espionnage lié à la Chine, connu sous le nom d’APT40. Ce groupe est capable de coopter des exploits pour des failles de sécurité nouvellement divulguées en quelques heures ou jours après leur publication.

Capacité de transformation rapide

APT40, également nommé Bronze Mohawk, Gingham Typhoon, Kryptonite Panda, entre autres, a démontré une capacité exceptionnelle à transformer rapidement des preuves de concept des vulnérabilités (PoCs) en opérations de ciblage, de reconnaissance et d’exploitation.

Historique et affiliation

Actif depuis au moins 2011, APT40 mène des attaques ciblant des entités dans la région Asie-Pacifique. En juillet 2021, les États-Unis et leurs alliés ont officiellement attribué ce groupe au Ministère de la Sécurité d’État (MSS) de la Chine, accusant plusieurs membres pour une campagne pluriannuelle visant à voler des secrets commerciaux et des informations de grande valeur.

Méthodes d’attaque utilisées

APT40 est connu pour déployer des shell web pour établir une persistance et maintenir l’accès à l’environnement de la victime. Le groupe utilise également des sites web australiens à des fins de commandement et de contrôle (C2).

• Utilisation de failles dans des logiciels publics largement utilisés (ex : Log4j, Atlassian Confluence, Microsoft Exchange).
• Reconnaissance régulière des réseaux ciblés.
• Exploitation d’appareils obsolètes ou non patchés (routers SOHO, etc.).

Campagnes de spear-phishing et ScanBox

Au cours des dernières années, APT40 a été lié à des vagues d’intrusions utilisant le framework de reconnaissance ScanBox et exploitant des failles de sécurité dans des logiciels comme WinRAR (CVE-2023-38831) pour des campagnes de phishing ciblant la Papouasie-Nouvelle-Guinée.

Compromission des services institutionnels

En mars, le gouvernement néo-zélandais a lié APT40 à la compromission de l’Office de la Conseillère Parlementaire et des Services Parlementaires en 2021. Cela démontre la portée et l’efficacité des attaques orchestrées par ce groupe.

Recommandations pour les organisations

Il est crucial pour les organisations de maintenir des mécanismes de journalisation adéquats, d’appliquer une authentification multi-facteurs (MFA), de mettre en œuvre un système de gestion des correctifs robuste, de remplacer les équipements en fin de vie, de désactiver les services, ports et protocoles inutilisés et de segmenter les réseaux pour prévenir l’accès à des données sensibles.

Source: thehackernews.com