Logiciel malveillant ROAMINGMOUSE : un intrus dans les couloirs numériques de l'Asie

Un nouveau type d'outil de cyberespionnage

Un nouveau logiciel malveillant, connu sous le nom de ROAMINGMOUSE, a récemment fait son apparition dans le monde du cyberespionnage. Il s'intègre discrètement aux systèmes et recueille des renseignements sans être immédiatement détecté. Contrairement aux rançongiciels sensationnels ou aux cyberattaques perturbatrices qui font la une des journaux internationaux, ROAMINGMOUSE représente une forme d'intrusion plus subtile et calculée, qui met en évidence la sophistication croissante des cyberattaques soutenues par les États.

Les acteurs derrière les logiciels malveillants

ROAMINGMOUSE n'est pas une menace isolée, mais fait partie d'une opération d'espionnage plus vaste, soupçonnée d'être orchestrée par un acteur malveillant connu sous le nom de MirrorFace . Ce groupe, également traqué sous le pseudonyme d'Earth Kasha, est lié à l'unité d'espionnage chinoise APT10, plus vaste et bien documentée. Leur dernière campagne cible principalement les institutions gouvernementales et publiques du Japon et de Taïwan, deux régions dont l'importance géopolitique est croissante.

Un début trompeur : la configuration du phishing

Au cœur de cette opération se trouve une chaîne d'attaques commençant par le spear-phishing, une technique qui utilise des e-mails trompeurs pour inciter les destinataires à ouvrir du contenu malveillant. Dans ce cas précis, les e-mails sont habilement déguisés et proviennent souvent de comptes légitimes, mais déjà compromis. Une URL Microsoft OneDrive est intégrée aux e-mails, qui télécharge un fichier ZIP contenant un document Excel piégé. Une fois ouvert, ce document exécute ROAMINGMOUSE, un injecteur de malware à macros qui lance les étapes suivantes de l'opération.

ROAMINGMOUSE en action

ROAMINGMOUSE agit comme un facilitateur. Il décode un fichier ZIP intégré et encodé et extrait une série de fichiers sur le disque de la victime. Parmi ceux-ci figurent des binaires Windows et des bibliothèques de liens dynamiques (DLL) légitimes, mais aussi une charge utile cachée : la porte dérobée ANEL, un outil récurrent dans la boîte à outils d'espionnage d'Earth Kasha. En exploitant une technique appelée « chargement latéral de DLL », le malware incite des programmes légitimes à exécuter son code malveillant, contournant ainsi les détections de sécurité de base.

Capacités améliorées de l'ANEL

La version actuelle d'ANEL se distingue par ses capacités améliorées. La dernière variante peut désormais exécuter des fichiers objets balises (BOF) directement dans la mémoire système. Les BOF sont des programmes spécialisés conçus pour étendre Cobalt Strike, un outil légitime souvent réutilisé par les attaquants pour des activités post-exploitation. Cela permet aux attaquants d'explorer plus en profondeur les systèmes infectés : captures d'écran, catalogage des processus en cours d'exécution et examen des structures de domaines réseau.

Une campagne de logiciels malveillants à plusieurs niveaux

De plus, cette campagne ne se limite pas à un seul malware. ROAMINGMOUSE ouvre la voie à d'autres outils, dont NOOPDOOR (également connu sous le nom de HiddenFace), une autre porte dérobée sophistiquée utilisant DNS sur HTTPS (DoH). Cette technique chiffre le trafic web, ce qui complique la détection et le blocage des communications du malware avec ses serveurs de commande et de contrôle par les outils de sécurité réseau.

Implications pour les cibles de grande valeur

Les implications de cette campagne sont importantes, sans être forcément alarmantes, pour le grand public. Elle révèle l'évolution constante des tactiques de cyberconflit, passant des attaques perturbatrices à l'espionnage discret et ciblé. Les entités gouvernementales et les organisations d'infrastructures critiques sont les principales cibles, notamment celles détenant des informations sensibles liées à la sécurité nationale, aux projets d'infrastructures et à la propriété intellectuelle.

Répondre au paysage des menaces

En s'implantant profondément dans les systèmes institutionnels, les acteurs malveillants comme Earth Kasha cherchent à rester indétectables le plus longtemps possible, détournant des données susceptibles d'éclairer les décisions stratégiques, politiques ou économiques. Bien qu'aucune faille n'ait été signalée comme ayant causé des dommages manifestes, l'effet cumulatif d'une telle surveillance à long terme pourrait influencer la stabilité régionale, les négociations commerciales ou l'élaboration des politiques.

Un appel à la vigilance et à la résilience

Il est conseillé aux organisations confrontées à ce niveau de menace de renforcer leur dispositif de cybersécurité. Cela inclut l'adoption de principes de confiance zéro, l'utilisation d'outils avancés de détection des menaces, la surveillance des activités internes pour détecter les anomalies et la formation continue des employés pour les aider à reconnaître les tentatives d'hameçonnage. Dans ce contexte, la cybersécurité se résume moins à la prévention qu'à la détection précoce et à la réponse résiliente.

En résumé

ROAMINGMOUSE n'est pas un avertissement d'un danger imminent pour les utilisateurs ordinaires, mais un rappel de l'évolution des menaces numériques. À mesure que les cyberopérations deviennent plus ciblées et techniquement plus sophistiquées, les défenses qui protègent les systèmes critiques doivent l'être aussi. Discrète et discrète, cette nouvelle campagne de malware démontre qu'à l'ère de l'espionnage moderne, les menaces les plus dangereuses sont peut-être celles qui ne se déclarent pas du tout.