Comment fonctionne la chaîne d'attaque du malware CLEANGULP ?

La chaîne d'attaque repose sur des sites web falsifiés ou compromis qui incitent les cibles à visiter une page contrôlée par les attaquants, où une version vulnérable de Chrome déclenche la chaîne d'exploitation, escalade les privilèges via la faille Windows et installe CLEANGULP sans que la victime télécharge ou ouvre un fichier suspect.

Des pirates chinois UTA0565 exploitent des zero-days Chrome-Windows

Q: Qu'est-ce qu'UTA0565 ?

UTA0565 est un acteur de menace lié à l'État chinois qui a été surpris en train d'enchaîner des vulnérabilités zero-day pour pénétrer des réseaux gouvernementaux et déployer une souche de malware appelée CLEANGULP.

Q: Qui sont les cibles confirmées de cette campagne ?

Les rapports désignent des entités gouvernementales, principalement en Asie, comme les cibles confirmées à ce jour.

Q: Pourquoi les exploits zero-day sont-ils considérés comme si dangereux ?

Les zero-days sont des vulnérabilités qui étaient inconnues des développeurs de Chrome et de Windows au moment de l'exploitation, ce qui signifie qu'aucun correctif n'existait lorsque les attaques ont commencé, et cette combinaison de furtivité et de rapidité les rend difficiles à détecter pour les défenseurs avant que les dégâts ne soient causés.

Q: D'autres groupes de menace utilisent-ils le même kit d'exploitation ?

Oui, les recherches de Volexity notent que le kit d'exploitation utilisé dans cette campagne est apparu dans les outils de multiples groupes de menace alignés sur la Chine, suggérant une infrastructure partagée ou des ressources qui se chevauchent entre différentes opérations APT.

Qu'est-ce qu'UTA0565 et comment le malware CLEANGULP opère-t-il ?

Un acteur de menace lié à l'État chinois, suivi sous le nom d'UTA0565, a été surpris en train d'enchaîner des vulnérabilités zero-day pour pénétrer des réseaux gouvernementaux et déployer une souche de malware appelée CLEANGULP. Les chercheurs en sécurité de Volexity ont identifié la campagne après avoir observé le groupe combinant des failles dans Google Chrome et Microsoft Windows, permettant aux attaquants de passer d'un exploit de navigateur à une compromission totale du système sans que la victime ait besoin de télécharger ou d'ouvrir un fichier suspect.

La chaîne d'attaque reposerait sur des sites web falsifiés ou compromis qui incitent les cibles à visiter une page contrôlée par les attaquants. Une fois qu'une version vulnérable de Chrome charge la page, la chaîne d'exploitation se déclenche, escalade les privilèges via la faille Windows et installe discrètement CLEANGULP. À partir de là, le malware donne à UTA0565 un point d'ancrage pour l'espionnage, le vol de données ou d'autres mouvements latéraux au sein du réseau de la cible.

Ce qui rend cette campagne notable, c'est l'utilisation d'une véritable chaîne zero-day : des vulnérabilités qui étaient inconnues des développeurs de Chrome et de Windows au moment de l'exploitation, ce qui signifie qu'aucun correctif n'existait lorsque les attaques ont commencé. Cette combinaison de furtivité et de rapidité est précisément pourquoi l'exploitation zero-day reste l'une des menaces les plus difficiles à détecter pour les défenseurs avant que les dégâts ne soient causés.

Qui est à risque : appareils et réseaux dans le rayon d'impact

Les rapports sur la campagne désignent des entités gouvernementales, principalement en Asie, comme les cibles confirmées à ce jour. Mais les chaînes d'exploitation zero-day construites autour de logiciels largement utilisés comme Chrome et Windows restent rarement confinées à une seule région ou à un seul secteur très longtemps. Toute organisation ou individu utilisant des versions non corrigées de ces plateformes est techniquement exposé au même kit d'exploitation, même s'il ne s'agissait pas de la cible initiale visée.

Cela est particulièrement préoccupant pour les petites agences gouvernementales, les sous-traitants et les ONG qui peuvent manquer de ressources pour surveiller les menaces de niveau étatique mais qui traitent tout de même des données sensibles qui en font des cibles secondaires attractives. Les utilisateurs ordinaires sont moins susceptibles d'être directement ciblés par un groupe axé sur l'espionnage comme UTA0565, mais ils peuvent néanmoins être pris dans la tourmente si le même kit d'exploitation est réutilisé, revendu ou repurposé par d'autres acteurs par la suite.

Un schéma familier : les campagnes APT chinoises ne cessent de s'intensifier

UTA0565 n'opère pas en isolation. Les recherches de Volexity notent que le kit d'exploitation utilisé dans cette campagne est apparu dans les outils de multiples groupes de menace alignés sur la Chine, suggérant une infrastructure partagée ou des ressources qui se chevauchent entre différentes opérations de menaces persistantes avancées (APT). Cela reflète une tendance plus large de groupes liés à la Chine menant des campagnes d'espionnage parallèles contre des cibles gouvernementales et diplomatiques dans le monde entier.

Un exemple récent de ce schéma est la campagne de backdoor SparroWocky de FamousSparrow, qui a ciblé des institutions gouvernementales latino-américaines à l'aide d'un logiciel malveillant jamais signalé auparavant. Comme le déploiement de CLEANGULP par UTA0565, l'opération SparroWocky montre comment les acteurs liés à la Chine continuent de perfectionner des outils personnalisés pour maintenir un accès à long terme à l'intérieur des systèmes gouvernementaux étrangers. Prises ensemble, ces campagnes suggèrent un effort coordonné et continu plutôt qu'une série d'incidents isolés.

Mesures défensives : correctifs, VPN et bases de la détection de malwares

Pour les organisations comme pour les individus, la protection contre l'exploitation zero-day d'UTA0565 commence par les bases appliquées de manière constante plutôt que parfaitement :

Appliquez les correctifs immédiatement dès leur disponibilité. Les zero-days perdent leur puissance dès qu'un correctif est disponible. Retarder les mises à jour de Chrome, Windows ou de tout logiciel largement utilisé donne aux attaquants une fenêtre plus longue pour exploiter des failles connues, même après leur divulgation publique.
Activez les mises à jour automatiques sur les navigateurs et les systèmes d'exploitation chaque fois que possible, en particulier sur les terminaux gouvernementaux et d'entreprise où les cycles de correctifs manuels peuvent prendre du retard.
Utilisez un VPN réputé sur les réseaux non fiables. Bien qu'un VPN n'arrêtera pas à lui seul une chaîne d'exploitation zero-day, il ajoute une couche de protection significative en chiffrant le trafic et en masquant les détails réseau que les attaquants utilisent parfois pour la reconnaissance avant de lancer des attaques ciblées.
Déployez des outils de détection des terminaux capables de signaler un comportement inhabituel des processus, car les malwares zero-day comme CLEANGULP se comportent souvent de manière anormale avant même d'être formellement identifiés par les éditeurs de sécurité.
Restreignez ou surveillez l'accès aux sites web externes inconnus sur les réseaux sensibles, en particulier pour le personnel qui traite des données gouvernementales ou diplomatiques.

Ce que cela signifie pour vous

Si vous travaillez dans le gouvernement, la défense ou tout secteur traitant de données géopolitiques sensibles, cette campagne est un rappel que la gestion des correctifs n'est pas optionnelle, c'est une défense de première ligne. Pour les utilisateurs ordinaires, la conclusion est plus simple : gardez votre navigateur et votre système d'exploitation à jour, et traitez les liens inconnus avec prudence même lorsqu'ils apparaissent sur des sites d'apparence légitime. La protection contre l'exploitation zero-day d'UTA0565 n'est pas seulement une préoccupation pour les services informatiques ; elle reflète une discipline de sécurité plus large qui profite à quiconque navigue sur le web avec des logiciels obsolètes.

Garder une longueur d'avance sur la prochaine campagne

L'utilisation par UTA0565 de zero-days en chaîne pour déployer le malware CLEANGULP s'inscrit dans un schéma clair de groupes liés à l'État chinois sondant les réseaux gouvernementaux du monde entier avec des outils de plus en plus sophistiqués. Il est peu probable que ce soit la dernière campagne de ce type. Les lecteurs intéressés par l'évolution de ces opérations peuvent consulter les attaques de backdoor FamousSparrow SparroWocky pour un autre exemple récent du même scénario plus large en action. Rester informé, appliquer rapidement les correctifs et superposer les défenses comme l'utilisation d'un VPN et la surveillance des terminaux restent les moyens les plus pratiques de réduire l'exposition alors que ces campagnes d'espionnage continuent de faire surface.