Mastodawn

📢 Analyse technique de la chaîne d'infection EDR killer de Qilin ransomware via msimg32.dll
📝 ## 🔍 Contexte

Publié le 2 avril 2026 par Takahiro Takeda sur le blog Cisco Talos Intelligence, cet article constitue une analyse tech...
📖 cyberveille : https://cyberveille.ch/posts/2026-04-05-analyse-technique-de-la-chaine-d-infection-edr-killer-de-qilin-ransomware-via-msimg32-dll/
🌐 source : https://blog.talosintelligence.com/qilin-edr-killer/
#BYOVD #DLL_Side_Loading #Cyberveille

CyberVeille.ch 2d ago

📢 Mustang Panda : analyse technique approfondie de la chaîne d'infection PlugX ciblant l'Iran
📝 ## 🔍 Contexte

Publié le 27 mars 2026 sur le blog personnel d'Abdullah Islam, cet article constitue une **analyse technique approfond...
📖 cyberveille : https://cyberveille.ch/posts/2026-04-03-mustang-panda-analyse-technique-approfondie-de-la-chaine-d-infection-plugx-ciblant-l-iran/
🌐 source : https://0x3obad.github.io/posts/plugx-writeup/
#DLL_side_loading #Eraser_dat #Cyberveille

Mustang Panda : analyse technique approfondie de la chaîne d'infection PlugX ciblant l'Iran

🔍 Contexte Publié le 27 mars 2026 sur le blog personnel d’Abdullah Islam, cet article constitue une analyse technique approfondie d’une campagne attribuée au groupe APT Mustang Panda (lié à la Chine), ciblant des entités gouvernementales, diplomatiques et des ONG. L’échantillon analysé a été observé pour la première fois le 17 mars 2026. 🎯 Vecteur d’infection initial La chaîne d’infection débute par un fichier ZIP de spear-phishing nommé Energy_Infrastructure_Situation_Note_Tehran_Province_2026.zip, suggérant un ciblage lié à l’infrastructure énergétique iranienne. Un fichier LNK malveillant déclenche silencieusement un script PowerShell en fenêtre cachée (-w H).

CyberVeille

CyberVeille.ch Oct 31

📢 UNC6384 exploite la faille LNK ZDI-CAN-25373 pour déployer PlugX contre des cibles diplomatiques européennes
📝 Selon Arctic Wolf Labs, une campagne active (sept...
📖 cyberveille : https://cyberveille.ch/posts/2025-10-31-unc6384-exploite-la-faille-lnk-zdi-can-25373-pour-deployer-plugx-contre-des-cibles-diplomatiques-europeennes/
🌐 source : https://arcticwolf.com/resources/blog/unc6384-weaponizes-zdi-can-25373-vulnerability-to-deploy-plugx/
#DLL_side_loading #IOC #Cyberveille

UNC6384 exploite la faille LNK ZDI-CAN-25373 pour déployer PlugX contre des cibles diplomatiques européennes

Selon Arctic Wolf Labs, une campagne active (septembre–octobre 2025) attribuée au groupe affilié chinois UNC6384 cible des entités diplomatiques européennes, notamment en Hongrie et en Belgique, en exploitant la vulnérabilité Windows LNK ZDI-CAN-25373 pour livrer le RAT PlugX. 🎯 Ciblage et leurres: La chaîne d’attaque démarre par des e‑mails de spearphishing contenant des URLs menant à des fichiers .LNK thématiques (réunions Commission européenne, ateliers liés à l’OTAN, sommets multilatéraux). Ces LNK exploitent ZDI-CAN-25373 via un remplissage d’espaces dans COMMAND_LINE_ARGUMENTS pour lancer PowerShell, extraire un tar (ex. rjnlzlkfe.ta), afficher un PDF leurre légitime et exécuter un utilitaire Canon signé.

CyberVeille

CyberVeille.ch Oct 8

📢 Volexity révèle UTA0388 : spear phishing LLM‑assisté et malware GOVERSHELL via DLL side‑loading
📝 Selon Volexity (blog), l’acteur UTA0388, aligné sur la Chine, a mené entre jui...
📖 cyberveille : https://cyberveille.ch/posts/2025-10-08-volexity-revele-uta0388-spear-phishing-llm-assiste-et-malware-govershell-via-dll-side-loading/
🌐 source : https://www.volexity.com/blog/2025/10/08/apt-meets-gpt-targeted-operations-with-untamed-llms/
#DLL_side_loading #GOVERSHELL #Cyberveille

Volexity révèle UTA0388 : spear phishing LLM‑assisté et malware GOVERSHELL via DLL side‑loading

Selon Volexity (blog), l’acteur UTA0388, aligné sur la Chine, a mené entre juin et septembre 2025 des campagnes de spear phishing sophistiquées déployant le malware GOVERSHELL, avec un recours présumé aux LLM pour générer du contenu multilingue. • Contexte et cibles 🎯 UTA0388 cible des organisations en Amérique du Nord, en Asie et en Europe, avec un intérêt marqué pour les enjeux géopolitiques asiatiques, en particulier Taïwan. Les campagnes s’appuient sur des tactiques de « rapport‑building » (création de lien) et montrent des indices d’automatisation par LLM (fabrications absurdes, personas incohérents, ciblage inconsistant).

CyberVeille

CyberVeille.ch Sep 16, 2025

📢 Fancy Bear déploie NotDoor : backdoor Outlook via macros et DLL side-loading ciblant l’OTAN
📝 Selon le blog PolySwarm, le groupe lié au renseignement russe Fancy Bear (APT28) a déployé NotDoor, un backdoor...
📖 cyberveille : https://cyberveille.ch/posts/2025-09-15-fancy-bear-deploie-notdoor-backdoor-outlook-via-macros-et-dll-side-loading-ciblant-lotan/
🌐 source : https://blog.polyswarm.io/fancy-bear-uses-notdoor-to-target-nato-countries
#APT28 #DLL_side_loading #Cyberveille

Fancy Bear déploie NotDoor : backdoor Outlook via macros et DLL side-loading ciblant l’OTAN

Selon le blog PolySwarm, le groupe lié au renseignement russe Fancy Bear (APT28) a déployé NotDoor, un backdoor sophistiqué pour Outlook visant des pays membres de l’OTAN. • Le malware repose sur des macros VBA et abuse un binaire Microsoft OneDrive.exe signé vulnérable au DLL side-loading pour charger une SSPICLI.dll malveillante. Cette DLL installe des macros dans VbaProject.OTM d’Outlook, fournissant le point d’accès du backdoor. • NotDoor surveille des déclencheurs e-mail tels que « Daily Report », puis parse des commandes chiffrées via un encodage Base64 personnalisé avec préfixes aléatoires. Il prend en charge quatre types de commandes: cmd, cmdno, dwn, upl.

CyberVeille

CyberVeille.ch Sep 4, 2025

📢 APT28 déploie « NotDoor », une backdoor Outlook via side‑loading OneDrive et macros VBA
📝 Source: LAB52 (équipe renseignement de S2 Grupo).
📖 cyberveille : https://cyberveille.ch/posts/2025-09-03-apt28-deploie-notdoor-une-backdoor-outlook-via-side-loading-onedrive-et-macros-vba/
🌐 source : https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/
#APT28 #DLL_side_loading #Cyberveille

APT28 déploie « NotDoor », une backdoor Outlook via side‑loading OneDrive et macros VBA

Source: LAB52 (équipe renseignement de S2 Grupo). Contexte: analyse technique d’un nouvel artefact d’APT28 (« NotDoor ») ayant compromis des entreprises de divers secteurs dans des pays membres de l’OTAN. 🔍 Livraison et installation: Le malware est une macro VBA pour Outlook installée via DLL side‑loading en abusant du binaire légitime Microsoft OneDrive.exe qui charge une SSPICLI.dll malveillante. Cette DLL installe la backdoor en copiant un fichier préparé (c:\programdata\testtemp.ini) vers %APPDATA%\Microsoft\Outlook\VbaProject.OTM, puis désactive des protections macro et boîtes de dialogue via la base de registre.

CyberVeille

CyberVeille.ch Aug 27, 2025

📢 Campagne PRC‑nexus: détournement de portail captif et faux plugin pour déployer SOGU.SEC
📝 Source: Google Cloud Blog (Google Threat Intelligence, GTIG)...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-27-campagne-prc-nexus-detournement-de-portail-captif-et-faux-plugin-pour-deployer-sogu-sec/
🌐 source : https://cloud.google.com/blog/topics/threat-intelligence/prc-nexus-espionage-targets-diplomats/?hl=en
#AitM #DLL_side_loading #Cyberveille

Campagne PRC‑nexus: détournement de portail captif et faux plugin pour déployer SOGU.SEC

Source: Google Cloud Blog (Google Threat Intelligence, GTIG). Contexte: publication d’une analyse technique détaillant une campagne d’espionnage attribuée à UNC6384, groupe PRC‑nexus apparenté à TEMP.Hex/Mustang Panda, ciblant en priorité des diplomates et des organisations gouvernementales en Asie du Sud‑Est. • Chaîne d’attaque: l’opération commence par un détournement de portail captif via un Attacker‑in‑the‑Middle qui redirige le test de connectivité des navigateurs (gstatic generate_204) vers un site contrôlé par l’attaquant. La page imite une mise à jour de plugin en HTTPS avec certificat Let’s Encrypt et propose un exécutable signé. Le premier étage, STATICPLUGIN, télécharge un « BMP » qui est en réalité un MSI, installe des fichiers Canon légitimes détournés et side‑loade le lanceur CANONSTAGER, lequel déchiffre et exécute en mémoire le backdoor SOGU.SEC.

CyberVeille

CyberVeille.ch Aug 25, 2025

📢 QuirkyLoader : nouveau loader .NET (AOT) qui diffuse infostealers et RATs via DLL side‑loading
📝 Source et contexte — IBM X-Force publie une analyse technique de « QuirkyLoader », observé depuis novemb...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-24-quirkyloader-nouveau-loader-net-aot-qui-diffuse-infostealers-et-rats-via-dll-side-loading/
🌐 source : https://www.ibm.com/think/x-force/ibm-x-force-threat-analysis-quirkyloader
#_NET_AOT #DLL_side_loading #Cyberveille

QuirkyLoader : nouveau loader .NET (AOT) qui diffuse infostealers et RATs via DLL side‑loading

Source et contexte — IBM X-Force publie une analyse technique de « QuirkyLoader », observé depuis novembre 2024, un nouveau loader employé pour déposer des charges additionnelles sur des hôtes déjà compromis. L’article détaille la chaîne d’infection, les techniques d’évasion, les familles livrées, la victimologie récente (Taïwan, Mexique) et des indicateurs d’infraction associés. Chaîne d’infection — La campagne débute par des e‑mails de spam contenant une archive malveillante. Celle‑ci regroupe un exécutable légitime, un payload chiffré (déguisé en DLL) et un module DLL loader. L’acteur exploite le DLL side‑loading: l’exécutable légitime charge la DLL malveillante, qui lit et déchiffre la charge, puis l’injecte dans un processus cible. Le module DLL est systématiquement écrit en C# .NET et compilé en Ahead‑of‑Time (AOT), produisant un binaire natif qui ressemble à du C/C++. Un variant noté utilise le chiffre Speck‑128 en mode CTR pour générer un keystream (opérations ARX) et déchiffrer le payload par XOR en blocs de 16 octets.

CyberVeille

CyberVeille.ch Aug 6, 2025

📢 Découverte d'un groupe de menaces exploitant des vulnérabilités SharePoint avec le malware Project AK47
📝 Selon Unit 42, un acteur de menace, identifié comme Storm-2603, exploi...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-06-decouverte-d-un-groupe-de-menaces-exploitant-des-vulnerabilites-sharepoint-avec-le-malware-project-ak47/
🌐 source : https://unit42.paloaltonetworks.com/ak47-activity-linked-to-sharepoint-vulnerabilities/
#AK47C2 #DLL_side_loading #Cyberveille

Découverte d'un groupe de menaces exploitant des vulnérabilités SharePoint avec le malware Project AK47

Selon Unit 42, un acteur de menace, identifié comme Storm-2603, exploite des vulnérabilités SharePoint à travers un ensemble d’activités nommé CL-CRI-1040. Ce groupe utilise un outil de malware sophistiqué appelé Project AK47, démontrant une motivation financière. Le malware Project AK47 comprend plusieurs composants, notamment le cheval de Troie AK47C2 qui utilise les protocoles DNS et HTTP pour communiquer, ainsi que le rançongiciel AK47/X2ANYLOCK qui emploie le chiffrement AES/RSA et ajoute l’extension .x2anylock aux fichiers compromis. Le malware intègre des mécanismes de chargement de DLL et utilise une clé XOR codée en dur ‘VHBD@H’.

CyberVeille