SumatraPDF AdaptixC2 et VS filetés Code tunnels cyberespionage caché dans des outils légitimes

Une récente opération de cyberespionnage montre comment les groupes ayant de l'expérience dans la persistance et la furtivité continuent d'exploiter des applications légitimes et des services publics pour éviter la détection. Selon le rapport d'enquête, les agresseurs liés au collectif connu sous le nom Tropic Trooper ont utilisé une version brouillée du lecteur SumatraPDF comme vecteur initial pour déployer un agent post-opération appelé Beacon AdaptixC2, et ont ensuite établi un accès à distance en utilisant la fonctionnalité tunnel de Visual Studio Code.

Le modus operandi combine des techniques classiques et des outils modernes : l'utilisateur est attiré par un fichier ZIP contenant des leurres militaires et un exécutable malveillant qui passe par SumatraPDF. Lorsque le leurre est ouvert, un PDF de distraction s'affiche alors que, en arrière-plan, il est téléchargé et exécuté code chiffré à travers un chargeur identifié comme TOSHIS (un dérivé du Xiangoop connu). Ce chargeur orchestre la chaîne de chargement qui se termine avec un implant qui utilise GitHub comme canal de commande et de contrôle, et qui ne s'étend à un accès persistant avec des tunnels VS Code lorsque l'hôte est d'intérêt pour l'attaquant.

Il existe plusieurs éléments de risque et des leçons pratiques. Premièrement, l'utilisation d'outils légitimes tels que les plates-formes C2 (GitHub) et les services de gestion à distance (Tunnels de code VS) complique la détection parce que le trafic semble, en clair, légitime. Deuxièmement, l'utilisation d'un lecteur PDF léger et non signé dans les environnements d'entreprise montre que le contrôle des applications utilisateurs et des téléchargements externes est essentiel. Troisièmement, la campagne sélectionne les victimes par langue et par région, en ciblant principalement les communautés sinophones de Taiwan et les individus en Corée du Sud et au Japon, en indiquant des objectifs géopolitiques et sectoriels spécifiques.

Les implications pour les organisations et les utilisateurs sont claires : ne compter que sur des signatures statiques ou des blocs de noms de fichiers est insuffisant. La défense exige des contrôles à plusieurs niveaux: vérification de l'intégrité et de l'origine des installateurs, politiques de tarification des applications, fuite d'évacuation vers des dépôts suspects ou des IP, et télémétrie qui détecte des comportements anormaux tels que des processus qui déploient des coquilles cryptées, une persistance inhabituelle ou des connexions récurrentes à des plateformes publiques utilisées comme C2.

En termes opérationnels, les équipes d'intervention et de recherche devraient prioriser la recherche d'artefacts spécifiques (p. ex. traces du chargeur TOSHIS / Xiangoop, présence d'AdaptixC2 ou mise en place de connexions IP signalées 158.247.193.100) et saisir les dossiers de mémoire et de réseau avant l'assainissement. Dans les environnements où le code VS est autorisé, il est recommandé de revoir la configuration d'accès à distance et de vérifier la création de tunnels, car ces canaux légitimes peuvent devenir des vecteurs de contrôle persistants. Pour comprendre la fonctionnalité et les risques de la fonction, la documentation officielle du code VS sur les tunnels est un bon point de départ: Code studio visuel - Tunisels.

Pour réduire la probabilité d'engagement et la surface de l'attaque, il est nécessaire de renforcer les habitudes et les contrôles de base : télécharger le logiciel uniquement à partir de sources officielles et vérifier les signatures / digest lorsque disponible, appliquer des politiques de segmentation et de sortie du réseau (évacuation) qui limitent les connexions directes aux dépôts publics à partir de paramètres sensibles, et déployer une détection basée sur le comportement qui identifie les modèles comme l'exécution de binaires inhabituels qui lancent des charges utiles en mémoire. Le lecteur officiel de SumatraPDF et son point de téléchargement peuvent être consultés ici pour contraster les versions légitimes: SumatraPDF - site officiel.

Si votre organisation détecte une activité liée à cette campagne, il est prudent de la traiter comme un incident : isoler l'équipement affecté, préserver les appareils pour l'analyse médico-légale, et rechercher des indicateurs tels que les processus VS Code Server non autorisés, les connexions à GitHub qui ne correspondent pas à l'activité de développement et les communications avec des IP/noms d'hôte suspects. Dans la pratique, il convient également de mettre à jour et de renforcer les règles EDR/AV pour saisir la charge mémoire et les techniques de chargeuse dynamique, et de revoir les contrôles d'accès aux outils de développement à distance qui pourraient être abusés.

Cette campagne est une nouvelle preuve que les acteurs avancés combinent des techniques peu coûteuses et de haut niveau avec les services publics pour fonctionner au radar. La position défensive doit évoluer en parallèle: une surveillance plus axée sur le comportement, une confiance moins implicite dans les outils d'utilisation quotidienne et des contrôles et applications plus stricts du réseau sont les mesures qui réduisent considérablement le risque qu'un leurre apparemment inoffensif devienne une porte arrière persistante.

Pour une couverture médiatique et technique supplémentaire de cette intrusion, voir le point de presse qui a couvert la constatation : BleepingComputer - Trooper utilise Trojanized SumatraPDF pour livrer AdaptixC2 et l'enquête initiale de l'équipe de la menace qui a découvert la campagne, dont l'analyse approfondit les indicateurs et les échantillons.