Un groupe chinois de menace persistante avancée (APT) cible les institutions financières taïwanaises dans le cadre d’une « campagne persistante » qui a duré au moins 18 mois.

Les intrusions, dont l’intention première était l’espionnage, ont entraîné le déploiement d’une porte dérobée appelée xPackaccordant à l’adversaire un contrôle étendu sur les machines compromises, a déclaré Symantec, propriété de Broadcom, dans un rapport publié la semaine dernière.

Ce qui est remarquable dans cette campagne, c’est le temps pendant lequel l’acteur de la menace s’est caché sur les réseaux de victimes, offrant aux opérateurs de nombreuses possibilités de reconnaissance détaillée et d’exfiltration d’informations potentiellement sensibles concernant les contacts commerciaux et les investissements sans lever le moindre signal d’alarme.

Dans l’une des organisations financières anonymes, les attaquants ont passé près de 250 jours entre décembre 2020 et août 2021, tandis qu’une entité manufacturière avait son réseau sous leur surveillance pendant environ 175 jours.

Bien que le vecteur d’accès initial utilisé pour violer les cibles reste incertain, on soupçonne qu’Antlion a exploité une faille d’application Web pour prendre pied et supprimer la porte dérobée personnalisée xPack, qui est utilisée pour exécuter les commandes système, supprimer les logiciels malveillants et outils ultérieurs, et mettre en scène données pour l’exfiltration.

En outre, l’auteur de la menace a utilisé des chargeurs personnalisés basés sur C++ ainsi qu’une combinaison d’outils légitimes prêts à l’emploi tels que AnyDesk et living-off-the-land (LotL) techniques pour obtenir un accès à distance, vider les informations d’identification et exécuter des commandes arbitraires.

« On pense qu’Antlion est impliqué dans des activités d’espionnage depuis au moins 2011, et cette activité récente montre qu’il s’agit toujours d’un acteur dont il faut être conscient plus de 10 ans après sa première apparition », ont déclaré les chercheurs.

Les résultats s’ajoutent à une liste croissante de groupes d’États-nations liés à la Chine qui ont ciblé Taïwan ces derniers mois, avec des cyberactivités malveillantes montées par des acteurs de la menace suivis comme Tropic Trooper et Earth Lusca frappant le gouvernement, les soins de santé, les transports et les établissements d’enseignement dans le pays.