Des chercheurs d’ESET ont identifié deux nouvelles variantes Windows de SprySOCKS, baptisées WIN_DRV et WIN_PLUS, jusqu’alors non documentées. Cette porte dérobée, précédemment observée uniquement sous Linux, serait utilisée par FishMonger, un groupe de cyberespionnage soupçonné d’être opéré par le sous-traitant chinois I-SOON. Si les premiers échantillons ont été découverts sur VirusTotal en avril 2024, la télémétrie d’ESET révèle une activité opérationnelle entre 2023 et 2024. Plusieurs organisations gouvernementales ont été ciblées au Honduras, à Taïwan, en Thaïlande et au Pakistan. Tribune.
- ESET Research a identifié deux nouvelles variantes Windows de la porte dérobée SprySOCKS, utilisées par le groupe FishMonger.
- La télémétrie d’ESET révèle des activités entre 2023 et 2024, visant principalement des organismes gouvernementaux au Honduras, à Taïwan, en Thaïlande et au Pakistan.
- Ces deux variantes Windows prennent en charge les communications TCP, UDP et WebSocket et disposent de plus de 30 commandes.
- La variante WIN_DRV met en œuvre une porte dérobée TCP discrète en utilisant un pilote noyau pour rediriger certains paquets TCP vers un port caché lorsqu’un trafic spécifique est détecté.
La variante WIN_DRV prend en charge plus de 30 commandes de contrôle à distance (C&C). Celles-ci couvrent un large éventail de fonctionnalités notamment la collecte d’informations système, l’énumération des processus, la gestion des services Windows ainsi que diverses opérations sur les fichiers, telles que leur création, suppression, transfert ou encore leur inventaire.
Au-delà de ses capacités classiques de porte dérobée, la version Windows de SprySOCKS s’appuie sur un pilote noyau afin de renforcer sa furtivité. Ce composant permet de masquer les connexions réseau, les processus, les fichiers et les clés de registre associés au malware. Il offre également des fonctions de détournement du trafic TCP, permettant aux opérateurs d’envoyer des commandes via un port TCP arbitraire de la machine compromise sans exposer le véritable port d’écoute de la porte dérobée dans les communications réseau.
« La version Windows conserve l’essentiel de l’architecture de son équivalent Linux, notamment le protocole de communication C&C, les mécanismes de chiffrement et la logique de traitement des commandes. Elle intègre toutefois des fonctionnalités propres à Windows et renforce considérablement ses capacités de dissimulation grâce à l’utilisation de pilotes noyau. Compte tenu des éléments laissant entrevoir une possible implication dans des attaques reposant sur des bootkits UEFI, nous recommandons aux organisations de surveiller attentivement les activités de ce groupe », explique Martin Smolár, chercheur chez ESET à l’origine de la découverte et de l’analyse de ce nouvel arsenal.
Les données de télémétrie d’ESET suggèrent ainsi que certaines chaînes d’attaque impliquant SprySOCKS pourraient inclure l’utilisation d’un bootkit UEFI, potentiellement en exploitant la vulnérabilité CVE-2023-24932.
Considéré comme une branche du collectif Winnti, FishMonger serait exploité par le sous-traitant chinois I-SOON et opérerait vraisemblablement depuis Chengdu, en Chine. Le groupe est également suivi sous les noms Earth Lusca, TAG-22, Aquatic Panda et Red Dev 10. ESET Research avait déjà documenté ses activités en 2020, notamment lors de campagnes visant les universités de Hong Kong dans le contexte des manifestations pro-démocratie de 2019. FishMonger est également connu pour mener des attaques de type watering hole. Son arsenal comprend notamment ShadowPad, Spyder, Cobalt Strike, FunnySwitch, SprySOCKS et BIOPASS RAT.
Pour en savoir plus sur les dernières évolutions de l’arsenal de FishMonger, consultez l’article de blog d’ESET Research intitulé « FishMonger’s upgraded arsenal: SprySOCKS for Windows », disponible sur WeLiveSecurity.com.
