Nous avons enquêté sur leurs intrusions depuis 2013 et les avons combattus sans relâche au cours de l'année écoulée chez plusieurs grandes entreprises de télécommunications et de technologie. La détermination de cet adversaire basé en Chine est véritablement impressionnante : ils sont comme un chien avec son os. Le vecteur de compromission et de persistance initial privilégié par HURRICANE PANDA est un webshell China Chopper — un minuscule fichier texte de 70 octets, facilement obfusqué, composé d'une commande « eval() », ensuite utilisé pour offrir aux attaquants des capacités complètes d'exécution de commandes et de téléversement/téléchargement de fichiers. Ce script est généralement téléversé sur un serveur web via une vulnérabilité d'injection SQL ou WebDAV, souvent triviale à découvrir dans une entreprise disposant d'une vaste présence web externe. Une fois à l'intérieur, l'adversaire passe immédiatement à l'exécution d'un outil de vol d'identifiants tel que Mimikatz (réempaqueté pour éviter la détection antivirus). S'ils ont la chance d'avoir piégé un administrateur connecté à ce serveur web à ce moment-là, ils auront obtenu des identifiants d'administrateur de domaine et pourront désormais circuler à leur guise dans votre réseau via les commandes « net use » et « wmic » exécutées depuis le terminal du webshell.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).