Les systèmes hébergeant du contenu relatif aux Jeux nationaux de Chine ont été piratés avec succès l’année dernière par un groupe de piratage anonyme de langue chinoise.
La société de cybersécurité Avast, qui disséqué l’intrusion, a déclaré que les attaquants avaient eu accès à un serveur Web 12 jours avant le début de l’événement le 3 septembre pour supprimer plusieurs shells Web inversés pour un accès à distance et prendre pied de manière permanente sur le réseau.
le Jeux nationaux de Chineun événement multisports organisé tous les quatre ans, a eu lieu dans la province du Shaanxi du 15 au 27 septembre 2021.
La société tchèque a déclaré qu’elle n’était pas en mesure de déterminer la nature des informations volées par les pirates, ajoutant qu’elle avait « des raisons de croire [the attackers] sont soit des locuteurs natifs de la langue chinoise, soit montrent une grande maîtrise du chinois. » La violation aurait été résolue avant le début des jeux.
L’accès initial a été facilité par l’exploitation d’une vulnérabilité du serveur Web. Mais avant de laisser tomber les shells Web, l’adversaire a également expérimenté le type de fichiers qu’il était capable de télécharger sur le serveur, pour le suivre en soumettant un code exécutable qui se faisait passer pour des fichiers d’images apparemment inoffensifs.
De plus, des tentatives ont été faites pour reconfigurer le serveur afin d’exécuter le Derrière le shell Webà défaut de quoi les opérateurs « ont téléchargé et exécuté un serveur Tomcat complet correctement configuré et armé » avec l’outil de post-exploitation.
« Après avoir obtenu l’accès, les attaquants ont tenté de se déplacer sur le réseau en utilisant des exploits et des services de force brute de manière automatisée », ont déclaré les chercheurs d’Avast, David Álvarez Pérez et Jan Neduchal.
Parmi les autres outils téléchargés sur le serveur figuraient un scanner de réseau et un cadre d’exploitation personnalisé en un clic écrit en Go qui permettait à l’acteur de la menace d’effectuer un mouvement latéral et de s’introduire de manière autonome dans d’autres appareils du même réseau.
« Go est un langage de programmation de plus en plus populaire qui peut être compilé pour plusieurs systèmes d’exploitation et architectures, dans un seul binaire contenant toutes les dépendances », ont déclaré les chercheurs, appelant à l’utilisation croissante de Logiciels malveillants basés sur Go pour mener des cyberattaques.
« Nous nous attendons donc à voir des logiciels malveillants et des outils gris écrits dans ce langage lors d’attaques futures, en particulier dans [Internet of things] attaques où une grande variété d’appareils exploitant différents types d’architectures de processeurs sont impliqués. »
