Un acteur de menace persistante avancée (APT) connu sous le nom de Tordeuse a ciblé une entité basée aux États-Unis pour la première fois en plus de six ans, selon les dernières recherches.
L’attaque visait une législature d’État américaine anonyme, l’équipe Symantec Threat Hunter, qui fait partie de Broadcom Software, a dit dans un rapport partagé avec The Hacker News.
D’autres intrusions « stratégiquement significatives » montées au cours des six derniers mois ont été dirigées contre le gouvernement d’un pays du Moyen-Orient, un fabricant multinational d’électronique et un hôpital en Asie du Sud-Est.
Tordeuseégalement appelé APT27, Bronze Union, Emissary Panda, Lucky Mouse et Red Phoenix, est un acteur menaçant qui est censé opérer au nom de la Chine par le biais d’attaques qui exploitent une combinaison d’outils personnalisés et librement disponibles pour exfiltrer des informations d’intérêt.
« Bronze Union maintient un degré élevé de flexibilité opérationnelle afin de s’adapter aux environnements dans lesquels elle opère », Secureworks Remarques dans un profil du groupe d’États-nations, soulignant sa capacité à « maintenir l’accès aux systèmes sensibles sur une longue période ».
Une porte dérobée de premier plan attribuée au collectif contradictoire est HyperBro, qui est utilisée depuis au moins 2013 et est en développement continu. Ses autres outils incluent PlugX, SysUpdate et le shell Web China Chopper.
La dernière série d’attaques n’est pas différente, l’acteur menaçant exploitant les failles de Log4Shell pour compromettre les serveurs et installer des shells Web, ouvrant finalement la voie au déploiement d’HyperBro, PlugX, Cobalt Strike et des logiciels de vidage d’informations d’identification.
Le développement marque la deuxième fois que Budworm est lié à une attaque contre une entité américaine. Plus tôt ce mois-ci, le gouvernement américain a révélé que plusieurs groupes de piratage d’États-nations avaient violé une organisation du secteur de la défense en utilisant les failles ProxyLogon dans Microsoft Exchange Server pour supprimer China Chopper et HyperBro.
« Ces dernières années, l’activité du groupe semble s’être largement concentrée sur l’Asie, le Moyen-Orient et l’Europe », ont déclaré les chercheurs. « Une reprise des attaques contre des cibles basées aux États-Unis pourrait signaler un changement d’orientation pour le groupe. »
