Des intrusions liées à la Chine ciblent des infrastructures critiques en Asie du Sud-Est

Un groupe de menaces soupçonné d’être lié à la Chine serait à l’origine d’une récente campagne d’intrusion visant des organisations en Asie du Sud-Est, avec des indices indiquant qu’au moins 10 entités ont été touchées. Parmi les victimes ciblées figuraient deux organisations publiques, selon les chercheurs en sécurité qui suivent cette activité.

Les incidents semblent avoir ciblé des systèmes prenant en charge d’importantes opérations régionales, ce qui suscite des inquiétudes quant à l’accès à des informations sensibles et au maintien d’un accès à long terme au sein d’environnements critiques. Les chercheurs ont également indiqué que les attaquants avaient introduit une porte dérobée jusque-là inconnue, signe que le groupe continue de développer son arsenal d’outils.

Ce que les enquêteurs ont découvert

Les analystes de sécurité qui ont rendu compte de cette campagne ont indiqué que les intrusions ne se limitaient pas à un seul type de cible. L’activité s’étendait au contraire à plusieurs organisations de la région, ce qui témoigne d’un vaste effort visant à établir des points d’ancrage au sein de réseaux stratégiquement importants.

• Au moins 10 organisations ont été compromises.
• Deux des entités touchées étaient publiques.
• Une nouvelle porte dérobée a été déployée au cours de l’opération.

La présence d’une porte dérobée personnalisée est notable, car elle peut fournir aux attaquants un accès à distance, les aider à conserver le contrôle après la compromission initiale et leur permettre de poursuivre la reconnaissance au sein de l’environnement de la victime. Bien que les chercheurs n’aient pas rendu publics tous les objectifs de la campagne, cette activité correspond à des opérations conçues pour rester discrètes et maintenir un accès à long terme.

Les cibles liées à des États en Asie du Sud-Est sont devenues un objectif récurrent pour les groupes de menaces avancées, en particulier lorsque les réseaux gouvernementaux, industriels et liés aux infrastructures se recoupent. Les analystes estiment que ces campagnes peuvent être difficiles à détecter, car les attaquants dissimulent souvent leurs activités malveillantes dans un trafic d’administration légitime et utilisent des techniques dites « living off the land » afin de réduire leur visibilité.

Les organisations de la région sont invitées à vérifier leurs contrôles d’authentification, à surveiller les accès à distance inhabituels et à examiner leurs systèmes à la recherche d’indicateurs associés à la porte dérobée récemment identifiée. Les équipes de sécurité sont également invitées à renforcer la journalisation et les procédures de réponse aux incidents afin de limiter l’impact d’éventuelles intrusions futures.