L'APT chinoise cible la Corée du Sud dans le cadre d'une campagne pluriannuelle

Il y a eu un vaste effort de cyberespionnage parrainé par l’État chinois qui s’est étalé sur plusieurs années, ciblant des entités universitaires, politiques et gouvernementales sud-coréennes.

Le groupe Insikt de Recorded Future, opérant sous le nom de code TAG-74, a identifié cette campagne. Ils ont connecté l’adversaire aux renseignements militaires chinois et ont exprimé leurs inquiétudes quant à son impact sur les organisations universitaires, aérospatiales, de défense, gouvernementales, militaires et politiques sud-coréennes, japonaises et russes.

La société de cybersécurité a caractérisé le ciblage des institutions universitaires sud-coréennes comme faisant partie de la stratégie plus large de la Chine visant à se livrer au vol de propriété intellectuelle et à accroître son influence, en particulier à la lumière de ses relations stratégiques avec les États-Unis.

Fichiers d'aide utilisés comme appâts

L'APT chinois utilise des techniques d'ingénierie sociale, en utilisant les fichiers Microsoft Compiled HTML Help (CHM) comme appât. Ces fichiers introduisent une version personnalisée de la porte dérobée open source Visual Basic Script nommée ReVBShell. Cette porte dérobée facilite ensuite le déploiement du cheval de Troie d'accès à distance Bisonal.

ReVBShell est conçu pour rester inactif pendant une période spécifiée, avec la possibilité d'ajuster cet intervalle via des commandes à distance. Il utilise également le codage Base64 pour masquer ses communications de commande et de contrôle (C2).

L'utilisation de ReVBShell a été associée à deux autres clusters liés à la Chine, connus sous le nom de Tick et Tonto Team. En avril 2023, l’ASEC (AhnLab Security Emergency Response Center) a détecté une séquence d’infection identique liée à Tonto Team.

Bisonal, le cheval de Troie d'accès à distance fourni par ReVBShell, est un outil polyvalent capable d'effectuer diverses tâches, notamment la collecte d'informations, l'exécution de commandes, la gestion de processus, les transferts de fichiers et la suppression de fichiers.

TAG-74 est étroitement lié à Tick, soulignant la pratique répandue de partage d'outils entre les groupes menaçants chinois.

Recorded Future a souligné que la campagne TAG-74 reflète l'engagement durable du groupe à collecter des renseignements auprès de cibles sud-coréennes sur une période prolongée.