L’attaque, qu’ESET attribue avec une grande confiance au groupe APT « Tick », impliquait au moins trois familles de logiciels malveillants et compromettait les serveurs de mise à jour internes et les outils tiers utilisés par l’entreprise.
ESET attribue l’attaque avec une grande confiance au groupe APT « Tick ». D’après le profil de ce groupe, le but de l’attaque était très probablement des activités de cyberespionnage. La clientèle de l’entreprise compromise comprend des entités gouvernementales et militaires, ce qui en fait une cible particulièrement attrayante pour les groupes menaçant la cybersécurité.
« Les attaquants ont compromis les serveurs de mise à jour internes de l’entreprise pour déployer des logiciels malveillants au sein du réseau de développement de logiciels, et des installateurs frauduleux d’outils tiers légitimes utilisés par l’entreprise, ce qui a finalement abouti à l’exécution de logiciels malveillants sur les ordinateurs de ses clients », a expliqué Facundo, chercheur chez ESET. Munoz. « Pendant l’attaque, les acteurs malveillants ont mis en place un téléchargeur jusqu’ici non documenté, que nous avons nommé ShadowPy, ainsi que la porte dérobée Netboy (également connue sous le nom d’Invader) et le téléchargeur Ghostdown », a-t-il conclu.
L’attaque initiale a eu lieu en mars 2021, qu’ESET a notifiée à l’entreprise. En 2022, la télémétrie ESET a enregistré l’exécution de code malveillant sur les réseaux de deux des clients de l’entreprise compromise. Étant donné que les programmes d’installation malveillants ont été téléchargés via un logiciel d’assistance à distance, ESET considère que le déploiement a eu lieu pendant que l’entreprise fournissait une assistance technique.
The Tick (également connu sous le nom de « Bronze Butler » ou « Redbaldknight ») est un groupe APT qui serait actif depuis au moins 2006. Le groupe cible principalement les pays d’Asie-Pacifique. Ses opérations de cyberespionnage se concentrent sur le vol d’informations confidentielles et de propriété intellectuelle. Tick utilise un ensemble unique d’outils malveillants personnalisés conçus pour un accès persistant aux systèmes compromis, la reconnaissance, l’exfiltration de données et les téléchargements d’outils.
Envie de vous détendre un peu ? Voici un reportage très intéressant sur l’intelligence artificielle :
