Les chercheurs ont découvert un nouveau groupe de menaces persistantes avancées (APT) appelé CeranaKeeper. Il attaque spécifiquement les institutions étatiques en Thaïlande. En utilisant des services de partage de fichiers bien connus tels que Dropbox, GitHub et OneDrive, ils ont exfiltré de grandes quantités de données sensibles.
Les attaquants liés à la Chine ont utilisé des outils initialement attribués au groupe APT Mustang Panda. CeranaKeeper a poursuivi ses attaques avec de nouveaux outils, s'appuyant sur des services cloud légitimes pour exfiltrer des documents sensibles. Ce nouveau groupe de menace a été identifié par ESET sous le nom de CeranaKeeper, du nom de la ramification asiatique de l'abeille domestique « Apis Cerana ».
Comment CeranaKeeper attaque-t-il ?
Les attaques ont commencé par l'obtention d'un accès privilégié aux réseaux des agences gouvernementales thaïlandaises. Les attaquants ont ensuite utilisé divers outils spécialement conçus, tels que la porte dérobée « TONESHELL » et un outil de vidage des informations d'identification, pour désactiver les produits de sécurité et prendre le contrôle d'appareils supplémentaires sur le réseau. CeranaKeeper a également utilisé un script BAT pour infecter des machines supplémentaires et obtenir des droits d'administrateur de domaine.
L'un des principaux vecteurs d'attaque de CeranaKeeper était l'utilisation de plateformes légitimes telles que GitHub, Dropbox et OneDrive dans le cadre de son infrastructure d'attaque. Le mécanisme de requête pull GitHub a été utilisé pour contrôler silencieusement un shell inversé. L’utilisation de ces services légitimes rendait extrêmement difficile la détection et le blocage de ces activités.
Abonnez-vous à la newsletter maintenant
Lisez les meilleures nouvelles de B2B CYBER SECURITY une fois par moisQuel a été le résultat de l’attaque ?
L'objectif principal du groupe était le vol massif de données. Grâce aux réseaux infectés, de grandes quantités de documents ont été collectées et téléchargées sur des plateformes de stockage publiques. L’attaque visait à sécuriser de grandes quantités de données sur le long terme. Dans les cas enquêtés par ESET, les attaquants ont également réussi à compromettre les systèmes de la région asiatique au sens large, notamment au Myanmar, aux Philippines, au Japon et à Taiwan.
Comment les victimes ont-elles été blessées ?
Les services du gouvernement thaïlandais ont été considérablement endommagés par la perte de données sensibles. Non seulement les informations ont été exfiltrées des réseaux gouvernementaux, mais des systèmes clés du réseau ont également été manipulés pour soutenir les activités des attaquants. Ce type d’attaque affaiblit la sécurité et la souveraineté d’un État et met en danger des informations importantes pouvant avoir des implications géopolitiques à long terme.
Comment aurais-tu pu te protéger ?
Pour se protéger contre de telles attaques, il est important de prendre des mesures de sécurité telles que la mise en œuvre d'une surveillance des anomalies du réseau et d'une authentification multifacteur. La surveillance du trafic inhabituel vers des services cloud tels que Dropbox ou GitHub peut aider à identifier rapidement les activités suspectes. L'application régulière de correctifs aux vulnérabilités de sécurité et l'utilisation de solutions de renseignement sur les menaces peuvent également contribuer à améliorer la capacité de détection de nouvelles menaces telles que CeranaKeeper.
Qu’est-ce que cela signifie pour la région DACH :
Si CeranaKeeper continue à exfiltrer des données, des attaques similaires pourraient également se produire en Europe. Les tactiques et techniques des pirates informatiques pourraient servir de modèle à d’autres cybercriminels ou à des groupes soutenus par l’État. Les gouvernements et les entreprises de DACH doivent être vigilants et renforcer leurs mesures de sécurité.
Les leçons tirées des attaques contre la Thaïlande pourraient inciter les agences de sécurité et les entreprises européennes à réviser leurs stratégies pour contrer de telles menaces. En particulier, l’utilisation de services légitimes tels que le stockage cloud peut nécessiter une attention particulière.
Plus sur ESET.com
À propos d'ESET ESET est une société européenne dont le siège est à Bratislava (Slovaquie). Depuis 1987, ESET développe des logiciels de sécurité primés qui ont déjà aidé plus de 100 millions d'utilisateurs à profiter de technologies sécurisées. Le large portefeuille de produits de sécurité couvre toutes les principales plates-formes et offre aux entreprises et aux consommateurs du monde entier l'équilibre parfait entre performance et protection proactive. La société dispose d'un réseau de vente mondial dans plus de 180 pays et de bureaux à Jena, San Diego, Singapour et Buenos Aires. Pour plus d'informations, visitez www.eset.de ou suivez-nous sur LinkedIn, Facebook et Twitter.
Articles liés au sujet