Des acteurs liés au gouvernement chinois volent des données sensibles

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié un avis conjoint de cybersécurité (AA26-281A) détaillant des activités cybernétiques attribuées à des acteurs menaçants liés au gouvernement chinois. Ces acteurs, associés à des groupes tels qu'Integrity Tech et suivis sous des noms comme Flax Typhoon, emploient une combinaison de reconnaissance automatisée et d'intrusion directe pour exfiltrer des données sensibles.

Selon le rapport de la CISA, Integrity Tech soutient ces opérations en développant ou en acquérant des outils, en hébergeant des infrastructures et en compromettant des réseaux. Les cibles ont inclus des infrastructures critiques américaines et des organisations en Asie du Sud-Est, en Afrique et en Amérique du Nord. Les tactiques décrites impliquent l'exploitation de vulnérabilités web, le déploiement de logiciels malveillants et l'établissement d'un accès à distance persistant et discret.

Les acteurs de la menace utilisent des botnets étendus, des VPN et une collection d'outils de piratage. Ils combinent des outils déjà présents sur les systèmes des victimes et des logiciels d'accès à distance légitimes avec des outils personnalisés pour la collecte de données. Notamment, ils exploitent les vulnérabilités de script inter-sites (XSS) sur les pages web et déploient des malwares comme DiagTrack.exe pour le vol de données, tout en utilisant des clients SoftEther VPN pour assurer la persistance dans les systèmes compromis. Picus Security, une entreprise de cybersécurité, a publié une analyse de ces techniques d'attaque. L'entreprise propose sa plateforme pour simuler les menaces Flax Typhoon, permettant aux organisations de valider leurs contrôles de sécurité contre de telles attaques sophistiquées.