Silver Dragon l'attaquant sophistiqué APT41 qui infiltre l'Europe et l'Asie du Sud-Est avec des charges de mémoire et des tunnels DNS

Ces derniers mois, des chercheurs en sécurité ont révélé l'activité d'un acteur persistant et sophistiqué opérant sous le surnom de Silver Dragon. Ce groupe est lié à des intrusions dirigées en Europe et en Asie du Sud-Est depuis le milieu de 2024 et montre des techniques et des outils qui le placent dans le cadre tactique connu sous le nom d'APT41, un collectif historiquement lié à des campagnes de cyberespionnage et parfois à des opérations à motivation financière. Pour poursuivre l'analyse technique, Check Point a publié un rapport détaillé sur ces opérations et les chaînes d'infection utilisées par le groupe: Rapport de point de vérification.

Le chemin d'entrée utilisé par Silver Dragon combine l'utilisation de serveurs exposés sur Internet avec des campagnes d'hameçonnage avec des pièces jointes malveillantes. Une fois à l'intérieur, les attaquants cherchent à se mêler à l'activité légitime du système : ils enlèvent les services Windows et utilisent des charges utiles qui sont exécutées en mémoire pour éviter de laisser des traces sur le disque. Cette capacité à cacher les processus et à persister dans des environnements compromis est un sceau d'opérations avancées et bien financées et explique pourquoi la détection précoce est si complexe.

Parmi les outils récurrents dans les intrusions figurent Cobalt Strike, un cadre post-exploitation connu pour sa flexibilité et utilisé par les chercheurs et les acteurs malveillants. Silver Dragon utilise des balises Cobalt Strike pour maintenir le contrôle des équipements infectés et combine cette capacité avec des méthodes de communication moins conventionnelles, comme le tunnel DNS, qui permet d'envoyer et de recevoir des commandes en évitant des contrôles réseau plus stricts.

L'équipe de recherche a identifié trois principales chaînes d'infection. Deux d'entre eux commencent par des fichiers compressés contenant des scripts par lots et des charges en plusieurs étapes; l'un de ces itinéraires montre l'utilisation d'un chargeur .NET auquel ils appellent MonikerLoader, responsable de la décompression et de l'exécution d'une seconde étape directement en mémoire. Dans l'autre, un chargeur appelé BamboLoader - un C + binaire fortement opus qui est enregistré comme service Windows - défigure et décompresse le shellcode qui s'injecte ensuite dans des processus légitimes tels que taskhost.ex. Les deux itinéraires montrent des chevauchements opérationnels et suggèrent une infrastructure réutilisable conçue pour l'évasion et la polyvalence.

La troisième piste est une campagne d'hameçonnage ciblée, avec une incidence plus élevée signalée en Ouzbékistan, qui utilise l'accès direct à Windows (fichiers LNK) comme un leurre. Ces raccourcis activent les commandes qui exécutent le code PowerShell, déclenchant l'extraction et l'exécution de plusieurs fichiers: un document de leurre pour distraire l'utilisateur, un exécutable légitime vulnérable au chargement latéral (GameHook.exe), la DLL malveillante qui agit comme BamboLoader et un fichier chiffré qui contient Cobalt Strike charge utile. En pratique, lorsque le leurre est ouvert, l'utilisateur ne perçoit pas d'activité anormale alors que, en arrière-plan, l'outil malveillant est chargé et exécuté.

Les opérateurs Silver Dragon ne restent pas seuls dans l'accès initial : ils déploient une batterie de utilitaires pour se déplacer latéralement, recueillir des informations et maintenir la persistance. Ceux-ci comprennent des outils de surveillance d'écran (.NET) pour capturer les captures périodiques et la position du curseur, des utilitaires SSH pour l'exécution à distance et le transfert de fichiers, et une porte arrière qui interagit avec Google Drive en tant que canal de commande et de contrôle. Ce backdoor soulève des "beats" avec des informations informatiques de base et utilise des extensions de fichiers comme panneaux d'affichage pour différents types de tâches, en envoyant des résultats dans des formats qui facilitent la synchronisation avec le serveur d'attaque de cloud.

L'attribution à l'APT41 ne se fonde pas seulement sur la géopolitique visible des victimes; elle découle des coïncidences dans le mode de fonctionnement, des scripts d'installation post-exploitation déjà observés dans les campagnes précédentes et des mécanismes cryptographiques dans les chargeurs qui ont été précédemment associés à des activités connexes en Chine. Google Cloud a également documenté les intrusions APT41 et son utilisation de multiples exploits dans les campagnes mondiales, ce qui aide à contextualiser la persistance et l'adaptabilité de cet acteur : Analyse Google Cloud. Pour mieux comprendre l'organisation et les tactiques attribuées à des groupes comme l'APT41, le référentiel MITRE fournit des références utiles à sa classification et à ses techniques : MITRE APT41 et sur des techniques spécifiques comme le détournement d'AppDomain: AppDomain détournement (MITRE).

Quelles sont les implications pratiques de ce paysage pour les organisations et les responsables de la sécurité? Tout d'abord, il faut reconnaître que les vecteurs combinés - l'exposition des services sur Internet et le marquage de vitesse - nécessitent une stratégie à la fois préventive et fondée sur la détection. Le patchage et la réduction de la surface d'attaque sur les serveurs exposés restent des mesures fondamentales mais critiques, alors que les solutions de filtre et de bac à sable pour les attaches et la surveillance du comportement peuvent intercepter de nombreuses chaînes avant qu'elles ne finissent dans des charges de mémoire. En outre, la détection de modèles tels que le chargement latéral DLL, l'injection dans des processus légitimes et le trafic DNS anormal devrait faire partie des règles de surveillance et de réponse.

Enfin, le cas de Silver Dragon rappelle que les menaces persistantes sont constamment mises à jour : elles testent de nouvelles techniques, combinent l'infrastructure et les composants de réutilisation avec de légères variations pour éviter les signatures statiques. La communauté de la sécurité partage des renseignements et des outils pour atténuer ces risques, de sorte qu'il est essentiel d'être informé au moyen d'analyses publiques et d'avis de fournisseurs et d'organismes. Des rapports tels que le point de contrôle et des publications techniques de plates-formes réputées permettent aux équipes de défense d'adapter les règles, les indicateurs d'engagement et les cahiers des charges avec des informations fraîches et corroborées.

Si vous souhaitez approfondir ce type de campagne et les défenses recommandées, les rapports techniques et les bases de connaissances des fournisseurs et organisations comme Check Point, Google Cloud et MITRE sont un bon point de départ: Vérifier le point, Google Cloud et MITRE ATT & CK.