Un nouveau groupe de cybercriminaux connus sous le nom de NightEagle, également identifié comme APT-Q-95, a récemment été identifié lors de l’exploitation d’une vulnérabilité zéro-jour sur Microsoft Exchange Server pour frapper les secteurs stratégiques en Chine, en particulier les gouvernements, la défense et la technologie. Actif Depuis 2023, Nighteagle se démarque de sa vitesse dans l’évolution des infrastructures de réseau, ce qui rend difficile son identification et son suivi par les experts en sécurité informatique.
La découverte a été présentée par l’équipe Reddrip de Qianxin à l’occasion de la troisième édition des Cydes, l’une des principales conférences de cybersécurité en Malaisie. Selon les chercheurs, les attaques visent avant tout les organisations qui opèrent dans des zones à haute technologie telles que les semi-conducteurs, l’informatique quantique, l’intelligence artificielle et la défense militaire, dans le principal objectif de collecter des informations sensibles.
L’enquête a commencé après s’être identifié sur un point final d’un client d’une version personnalisée de Chisel, un outil open source écrit en Go, conçu pour la pénétration des réseaux. Cette variante devait démarrer automatiquement toutes les quatre heures grâce à une tâche planifiée, signe d’une attaque persistante et sophistiquée. Le malware a fonctionné en modifiant le code source de Chisel, en définissant des paramètres d’exécution prédéfinis et en créant des connexions de chaussettes aux serveurs de commande et de contrôle, facilitant ainsi la pénétration du réseau interne des victimes.
La chaîne d’attaque commence par la livraison d’un Troie via un chargeur .NET, qui est injecté dans le service Microsoft Exchange IIS. Les analystes ont identifié la présence d’une vulnérabilité à jour zéro qui permet aux attaquants d’obtenir la clé Machine et d’acquérir un accès non autorisé au serveur Exchange, pouvant implanter Trojan sur n’importe quel serveur compatible et lire les boîtes de messagerie à distance.
Un élément intéressant a émergé de l’analyse temporelle des activités est que les attaques ont lieu principalement pendant la nuit en Chine, suggérant que les gestionnaires peuvent opérer à partir d’une zone géographique différente, probablement d’Amérique du Nord. Cette campagne d’espionnage informatique souligne à quel point il est essentiel de surveiller constamment les infrastructures critiques, de mettre à jour les systèmes et d’adopter des stratégies de défense avancées contre les menaces apt qui exploitent la journée zéro.