REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Des campagnes visant des utilisateurs coréens combinent outils de contrôle distant et services proxy. Le poste compromis peut ainsi servir à piloter l’environnement et à relayer du trafic, avec des conséquences différentes pour l’investigation.
Déroulement décrit par la source
- Le rapport décrit l’installation de Radmin, puis d’UltraVNC et de logiciels proxy tels que Netch-gateway ou CCProxy.
- Des variantes récentes ajoutent SoftEther VPN pour installer une fonction de serveur VPN sur l’infrastructure infectée.
- Le vecteur d’intrusion initial n’est pas identifié dans les observations présentées.
Comprendre les mécanismes et les enseignements
- Leçon défensive : un accès distant non autorisé peut être utilisé au-delà du vol local de données. Lorsqu’un poste sert de relais, l’entreprise doit examiner les connexions entrantes et sortantes, ainsi que les conséquences possibles de trafic émis depuis sa propre infrastructure.
- La présence de commentaires dans une langue constitue un indice technique, pas une preuve suffisante d’identité ou de nationalité. La réponse peut avancer sur les outils observés et les changements de configuration sans attendre qu’une attribution plus forte soit disponible.
Les vérifications défensives utiles
- Comparer les services de prise en main à distance, proxy et VPN installés avec les besoins validés. Relever les dates d’installation, les comptes de service et les ports d’écoute pour distinguer les équipements administrés normalement des implants ajoutés pendant l’intrusion.
- Analyser les flux autour des machines suspectes et rechercher des connexions qui traversent le poste plutôt que de s’y terminer. Conserver ces traces avant retrait des logiciels afin de pouvoir délimiter l’usage comme relais et identifier les autres systèmes potentiellement concernés.
- Réviser les droits d’administration et les règles de filtrage entrant sur les postes ordinaires. Les exceptions nécessaires aux outils d’assistance doivent avoir un propriétaire identifié, une portée limitée et une procédure de retrait lorsque le besoin métier disparaît.
Portée et limites
Le point d’entrée reste inconnu. Les indices linguistiques et les outils utilisés ne suffisent pas, à eux seuls, à confirmer l’identité des opérateurs ; aucune chronologie d’accès initial complète ne peut en être déduite.
Rapport original
Attack Cases in Korea Involving the Installation of Radmin and UltraVNC — asec.ahnlab.com.