APT 'Flea' chinois cible les institutions américaines avec un logiciel malveillant de porte dérobée
Les chercheurs ont découvert qu'un acteur parrainé par l'État chinois appelé Flea a mené une campagne ciblée contre les ministères des affaires étrangères des Amériques entre fin 2022 et début 2023. Selon les chercheurs, les cyberattaques impliquaient l'utilisation d'une nouvelle porte dérobée nommée Graphican. Outre les ministères, la campagne visait un département des finances du gouvernement, une société opérant dans les Amériques et une victime non précisée en Europe.
Le rapport des chercheurs a mis en évidence le vaste arsenal d'outils utilisés par Flea, décrivant l'acteur de la menace comme bien financé et formidable. En plus de la porte dérobée de Graphican, les attaquants ont utilisé divers outils et outils "vivants hors de la terre" précédemment associés à Flea.
Flea, également connu sous le nom d'APT15, BackdoorDiplomacy, ke3chang, Nylon Typhoon (anciennement Nickel), Playful Taurus, Royal APT et Vixen Panda, est un groupe de menaces persistantes avancées qui cible les gouvernements, les missions diplomatiques et les ambassades depuis au moins 2004.
Plus tôt cette année, le groupe a été attribué à une série d'attaques contre des entités gouvernementales iraniennes entre juillet et décembre 2022. Le mois dernier, il a été révélé que le gouvernement kenyan avait fait l'objet d'une opération de collecte de renseignements de trois ans ciblant les principaux ministères et les établissements de l'État.
Flea a également été liée à plusieurs campagnes de surveillance Android, notamment SilkBean et BadBazaar, qui ciblaient les Ouïghours en Chine et à l'étranger.
Graphican Malware est une mise à jour de Ketrican existant
Graphican, la nouvelle porte dérobée utilisée par Flea, est considérée comme une évolution d'une porte dérobée précédente appelée Ketrican. Il combine les fonctionnalités de Ketrican et d'un autre implant appelé Okrum pour créer un nouveau malware nommé Ketrum. Graphican se démarque de Ketrican en utilisant l'API Microsoft Graph et OneDrive pour récupérer les détails du serveur de commande et de contrôle (C&C).
Contrairement à Ketrican, Graphican n'a pas d'adresse de serveur C&C codée en dur. Au lieu de cela, il se connecte à OneDrive via l'API Microsoft Graph pour obtenir l'adresse chiffrée du serveur C&C à partir d'un dossier spécifique. Il convient de noter que l'abus de l'API Microsoft Graph et OneDrive a été observé dans le passé avec des acteurs de la menace russes et chinois tels que APT28 et Bad Magic.
Graphican a la capacité de communiquer avec le serveur C&C, de recevoir des commandes, de créer une ligne de commande interactive, de télécharger des fichiers et d'établir des processus secrets pour l'extraction de données.
Un autre outil notable utilisé dans la campagne est une version mise à jour de la porte dérobée EWSTEW, qui permet l'extraction des e-mails envoyés et reçus à partir de serveurs Microsoft Exchange compromis.
