45 Previously Unreported Domains Expose Longstanding Salt Typhoon Cyber Espionage
Mis à jour :
Infrastructure Élargie pour la Cyber-Espionnage Chinoise Découverte
Une analyse récente a révélé 45 domaines auparavant inconnus associés aux acteurs de menace chinois Salt Typhoon et UNC4841. Certains de ces domaines remontent à mai 2020, démontrant une activité de longue date bien avant les attaques de 2024 attribuées à Salt Typhoon. Cette infrastructure partagée avec UNC4841, connu pour son exploitation d’une vulnérabilité dans les passerelles de sécurité e-mail Barracuda (CVE-2023-2868), suggère une coordination ou une utilisation commune de ressources par des groupes liés à la Chine.
Salt Typhoon, actif depuis 2019 et soupçonné d’être soutenu par le Ministère de la Sécurité d’État chinois, a particulièrement ciblé des fournisseurs de services de télécommunications aux États-Unis. L’identification de trois adresses e-mail Proton Mail utilisées pour enregistrer 16 domaines, ainsi que l’analyse des adresses IP, mettent en évidence des tactiques sophistiquées d’obscurcissement et d’utilisation d’adresses IP à haute densité.
Points Clés :
- Découverte de 45 domaines inédits liés à Salt Typhoon et UNC4841.
- Activité de ces groupes remontant à mai 2020.
- Chevauchement d’infrastructure entre Salt Typhoon et UNC4841.
- Ciblage par Salt Typhoon de fournisseurs de services de télécommunications.
- Utilisation d’adresses e-mail Proton Mail et d’adresses IP à haute densité pour l’enregistrement des domaines.
Vulnérabilités :
- Bien que l’article ne détaille pas de nouvelles vulnérabilités spécifiques découvertes via ces domaines, il fait référence à l’exploitation par UNC4841 d’une faille dans Barracuda ESG, identifiée par CVE-2023-2868 avec un score CVSS de 9.8.
Recommandations :
- Les organisations potentiellement exposées à l’espionnage chinois sont vivement encouragées à examiner leurs journaux DNS sur les cinq dernières années.
- Il est conseillé de rechercher les requêtes vers les 45 domaines identifiés et leurs sous-domaines.
- Il est également prudent de vérifier les requêtes vers les adresses IP associées, particulièrement durant les périodes d’activité présumée de ces acteurs.