--- title: "Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su" description: Acronis Threat Research Unit (TRU) a découvert une nouvelle campagne SideWinder APT ciblant des institutions gouvernementales de haut niveau au Sri Lanka, au Bangladesh et au Pakistan. canonical_url: https://www.acronis.com/fr/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/ locale: fr last_updated: 2026-10-27 --- * [Accueil](https://www.acronis.com/fr/tru/) * [Tous les articles](https://www.acronis.com/fr/tru/posts/) * [Santiago Pontiroli](https://www.acronis.com/fr/tru/authors/pontiroli-santiago/) 10 juin 2025 # Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su Acronis Threat Research Unit (TRU) a découvert une nouvelle campagne SideWinder APT ciblant des institutions gouvernementales de haut niveau au Sri Lanka, au Bangladesh et au Pakistan. Auteurs: **[Santiago Pontiroli](https://www.acronis.com/fr/tru/authors/pontiroli-santiago/), [Prakas Thevendaran](https://www.acronis.com/fr/tru/authors/prakas-thevendaran/)** Autres langues disponibles :[English](https://www.acronis.com/en/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Deutsch](https://www.acronis.com/de/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Español](https://www.acronis.com/es/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Italiano](https://www.acronis.com/it/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Português](https://www.acronis.com/pt/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Svenska](https://www.acronis.com/sv/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) **Auteurs :**Santiago Pontiroli, Jozsef Gegeny, Prakas Thevendaran ## Résumé * L'unité Acronis Threat Research Unit (TRU) a découvert une nouvelle campagne [SideWinder](https://attack.mitre.org/groups/G0121/) de menaces persistantes avancées (APT) visant des institutions gouvernementales de haut niveau au Sri Lanka, au Bangladesh et au Pakistan. * Les attaquants ont utilisé des e-mails de spear phishing assortis de charges actives géolocalisées pour s'assurer que seuls les destinataires des pays ciblés reçoivent le contenu malveillant. * Des fichiers Word et RTF malveillants exploitant les vulnérabilités [CVE-2017-0199](https://nvd.nist.gov/vuln/detail/CVE-2017-0199) et [CVE-2017-11882](https://nvd.nist.gov/vuln/detail/CVE-2017-11882) ont été utilisés comme vecteurs d'infection initiaux. Connues depuis longtemps, ces vulnérabilités n'en demeurent pas moins efficaces. * La chaîne d'intrusion utilise des chargeurs en plusieurs étapes, une charge active à base de shellcode et un polymorphisme côté serveur pour échapper à la détection. * La phase finale délivre StealerBot, un outil de collecte d'identifiants utilisé pour l'exfiltration de données et l'accès persistant, lequel combine l'espionnage classique et la collecte cybercriminelle d'identifiants. ## Introduction Cette campagne s'aligne sur les précédents rapports quant à l'évolution des tactiques de SideWinder, la mise à jour de ses outils et l'extension de ses zones d'action. Des analyses antérieures ont mis en évidence l'intérêt du groupe pour des secteurs à forte valeur ajoutée, tels que la recherche nucléaire et les infrastructures maritimes [1], ainsi que l'exploitation cohérente d'anciennes vulnérabilités de Microsoft Office [2] et du polymorphisme côté serveur pour échapper à la détection [3]. Ces modèles sont également visibles dans la campagne actuelle, qui exploite des mécanismes de diffusion similaires, associés à des composants de vol d'identifiants, pour maintenir un accès persistant aux environnements gouvernementaux d'Asie du Sud. SideWinder maintient son activité dans le temps, avec un rythme d'opérations régulier sans période d'inactivité prolongée, ce qui reflète une continuité organisationnelle et une volonté soutenue. ![Image 1: Faux document d'imitation d'une publication officielle intitulée « Sri Lanka Customs National Imports Tariff Guide 2025 » (Guide des tarifs douaniers des importations du Sri Lanka pour 2025), utilisé pour inciter les destinataires à ouvrir le fichier malveillant.](https://staticfiles.acronis.com/images/content/40d1864ac11ff3bc0d9691cd1cdeef12.png) Faux document d'imitation d'une publication officielle intitulée « Sri Lanka Customs National Imports Tariff Guide 2025 » (Guide des tarifs douaniers des importations du Sri Lanka pour 2025), utilisé pour inciter les destinataires à ouvrir le fichier malveillant. Des années après leur divulgation, CVE-2017-0199 et CVE-2017-11882 demeurent des exploits fiables, en particulier dans le cadre de campagnes de spear phishing ciblant des gouvernements et des organisations de défense aux configurations logicielles obsolètes. Ces vulnérabilités permettent l'exécution de code à distance via des documents MS Office malveillants : l'une en chargeant du contenu externe, l'autre en exploitant une faille de corruption de mémoire dans l'ancien éditeur d'équations, risquant de compromettre le système lorsque la victime ouvre un fichier créé spécifiquement en ce sens. ![Image 2: En fonction de l'emplacement de la victime (adresse IP) et de l'agent utilisateur, le serveur présentera la prochaine phase de la chaîne d'infection, une erreur 404 ou un fichier RTF leurre.](https://staticfiles.acronis.com/images/content/90b6fa0a5fa373ba104f42fc2c84c175.png) En fonction de l'emplacement de la victime (adresse IP) et de l'agent utilisateur, le serveur présentera la prochaine phase de la chaîne d'infection, une erreur 404 ou un fichier RTF leurre. Dans cette analyse, nous examinons une campagne récente ayant pour cible le Sri Lanka, le Bangladesh et le Pakistan, où SideWinder utilise des documents malveillants pour distribuer des chargeurs à plusieurs étapes, des charges actives à base de shellcode et l'outil de collecte d'informations d'identifiants StealerBot. Nous y explorons leurs tactiques d'évasion, le polymorphisme côté serveur et l'infrastructure de commande et de contrôle, et nous formulons des recommandations pour la détection et l'atténuation des risques. ![Image 3: Selon l'institution ciblée, ce groupe utilise des documents connexes parfois accessibles au public, mais qui semblent confidentiels.](https://staticfiles.acronis.com/images/content/8d107d94a69ed6447b46a9d9965254d8.png) Selon l'institution ciblée, ce groupe utilise des documents connexes parfois accessibles au public, mais qui semblent confidentiels. ### Guide tactique de SideWinder Mark Twain aurait dit : « L'histoire ne se répète pas, mais elle rime souvent. ». Dans le cas présent, nous constatons l'utilisation de techniques éprouvées, simples mais efficaces. Lors des campagnes précédentes, lorsque la victime ouvrait le document malveillant, l'exploit déclenchait le téléchargement d'un script, qui exécutait ensuite des charges actives supplémentaires à l'aide de [System Binary Proxy Execution: mshta.exe (T1218.005).](https://attack.mitre.org/techniques/T1218/005/) Malgré la publication d'un correctif il y a plusieurs années, cette technique reste probante pour les raisons suivantes : * De nombreuses organisations utilisent encore d'anciennes versions de MS Office. * La simplicité de contourner les filtres de messagerie avec des objets OLE incorporés. * La facilité d'automatiser la diffusion à grande échelle des campagnes de phishing. Toutefois, dans cette campagne qui a débuté en 2025, nous continuons d'observer l'utilisation de chargeurs à base de shellcode au lieu de mshta.exe, utilisé précédemment. Cette méthode, cohérente avec les techniques observées lors d'activités antérieures, notamment en mars 2025, laisse penser que SideWinder a choisi cette méthode comme mécanisme standard de distribution de charge active. Si la structure générale de la chaîne d'attaque n'a pas changé, les améliorations apportées par le groupe traduisent davantage une évolution de techniques efficaces et éprouvées qu'un changement radical de stratégie. ![Image 4: Communication ciblée auprès de la 55e division de l'armée sri-lankaise avec une invitation au 54e championnat du Conseil international des sports militaires.](https://staticfiles.acronis.com/images/content/0bf4be5028880a4f708044f7d4a99200.png) Communication ciblée auprès de la 55e division de l'armée sri-lankaise avec une invitation au 54e championnat du Conseil international des sports militaires. La 55e division est une unité d'infanterie d'élite de l'armée du [Sri Lanka](https://www.army.lk/), créée en 1996. Elle est actuellement déployée dans la péninsule de Jaffna sous le commandement du quartier général des forces de sécurité. ![Image 5: Les membres de l'armée du Sri Lanka participent habituellement à des compétitions internationales dans le cadre du Conseil international des sports militaires (CISM), qui promeut la camaraderie militaire mondiale par le sport.](https://staticfiles.acronis.com/images/content/e3730278d376b07d1310003eff6b6fcb.png) Les membres de l'armée du Sri Lanka participent habituellement à des compétitions internationales dans le cadre du Conseil international des sports militaires (CISM), qui promeut la camaraderie militaire mondiale par le sport. Cette division, la plus puissante de l'armée, compte plus de 10 000 fantassins répartis dans quatre brigades. Récemment, [elle a également pris la tête de la lutte contre les cybermenaces](https://www.army.lk/news/sri-lanka-signal-corps-take-lead-against-cyber-threats-it-commander-army-0), ce qui en fait une cible intéressante pour SideWinder. ![Image 6: Communication ciblée à l'intention du directeur des systèmes d'information de la Banque centrale du Sri Lanka, avec un document malveillant contenant des informations sur les stratégies monétaires et les changements intervenus en février 2025.](https://staticfiles.acronis.com/images/content/08380c84f42c57f461d0a53812961f21.png) Communication ciblée à l'intention du directeur des systèmes d'information de la Banque centrale du Sri Lanka, avec un document malveillant contenant des informations sur les stratégies monétaires et les changements intervenus en février 2025. La [Banque centrale du Sri Lanka (CBSL)](https://www.cbsl.gov.lk/) est l'autorité financière principale du pays. Elle est chargée d'émettre la monnaie, de définir la stratégie monétaire et de garantir la stabilité économique. Fondée en 1950 et basée à Colombo, la CBSL joue un rôle central dans la gestion du système financier et des réserves de change du Sri Lanka. Étant à l'origine des principales décisions économiques nationales, cette entité est une cible de choix pour les cybercriminels. Pour augmenter les chances d'infection, chaque cible reçoit un e-mail personnalisé avec un document susceptible de l'intéresser. Le groupe crée ou actualise des domaines pertinents pour se faire passer pour une institution officielle ou toute autre institution en laquelle la cible pourrait avoir confiance. ## Infrastructure SideWinder actualise régulièrement son infrastructure C2 (commande et contrôle), avec un pic notable en janvier 2025, où 34 nouveaux domaines ont été enregistrés ou redirigés. L'activité est restée soutenue en février 2025 avec 24 domaines supplémentaires, suivie d'une chute brutale en mars, qui pourrait indiquer une pause opérationnelle ou une réutilisation de l'infrastructure. Une autre vague a eu lieu en avril 2025 avec 10 nouveaux domaines, ce qui laisse penser à une reprise de l'activité. ![Image 7: Les domaines de commande et de contrôle mis à jour en 2025 montrent une intensification des activités à partir de janvier.](https://staticfiles.acronis.com/images/content/66439fe47324d6cc331272a95a2d9f76.png) Les domaines de commande et de contrôle mis à jour en 2025 montrent une intensification des activités à partir de janvier. ## Mieux comprendre SideWinder : diffusion géolocalisée en action Même si ce rapport examine 49 documents malveillants attribués à la campagne SideWinder en cours, nous allons nous concentrer sur un exemple représentatif pour expliquer la chaîne d'intrusion, de la livraison initiale à l'exploitation. Ce cas concerne un e-mail de phishing contenant un document Word malveillant, spécialement conçu pour cibler une organisation au Bangladesh. Il date du début du mois de mai 2025 et illustre clairement les méthodes actuelles du groupe. **Filename:** Caution Against Propaganda and Misinformation Campaigns.docx **SHA256:** 57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d **MD5:** b0f2f200a69db71947578fca51d4ff94 ![Image 8: Cet exemple a été transféré à VirusTotal depuis le Bangladesh le 4 mai 2025.](https://staticfiles.acronis.com/images/content/0de8bea80668af17129c9cbcd57e8754.png) Cet exemple a été transféré à VirusTotal depuis le Bangladesh le 4 mai 2025. Le document contient un exploit pour **CVE-2017-0199**, une vulnérabilité de Microsoft Office qui permet l'exécution de code à distance lorsqu'un utilisateur ouvre un fichier faisant référence à un objet externe. Comme les fichiers .docx sont structurés comme des archives ZIP, en inspectant le fichier **word/_rels/document.xml.rels**, nous pouvons identifier une entrée en relation avec **TargetMode="External"** pointant vers une URL distante. Cette URL charge un modèle malveillant (RTF) à partir d'un serveur contrôlé par un attaquant, qui déclenche silencieusement la vulnérabilité et initialise la phase suivante de la chaîne d'intrusion sans autre intervention de l'utilisateur. Dans ce cas, l'URL de la charge active de l'exploit pointe vers _hxxps[://]advisory[.]army-govbd[.]info/ISPR/d81b2d23/Accept\_EULA[.]rtf_ ![Image 9: Les domaines de commande et de contrôle mis à jour en 2025 montrent une intensification des activités à partir de janvier.](https://staticfiles.acronis.com/images/content/2d4c1d34336a81e36644a68fe51ba003.png) Les domaines de commande et de contrôle mis à jour en 2025 montrent une intensification des activités à partir de janvier. Si l'adresse IP ou la géolocalisation de la victime ne correspondent pas aux critères de ciblage prévus, le serveur renvoie un fichier leurre : un fichier RTF vide avec le hachage SHA-256 [1955c6914097477d5141f720c9e8fa44b4fe189e854da298d85090cbc338b35a](https://www.virustotal.com/gui/file/1955c6914097477d5141f720c9e8fa44b4fe189e854da298d85090cbc338b35a), qui agit comme une protection pour empêcher l'analyse et l'accessibilité non voulue. ![Image 10: Fichier RTF vide utilisé comme leurre. Dans certains cas, un proxy inverse renvoie simplement un code d'état HTTP 404, indiquant que l'URL demandée n'est pas disponible.](https://staticfiles.acronis.com/images/content/b122b71f7fa405ed54e1d092442fb1c8.png) Fichier RTF vide utilisé comme leurre. Dans certains cas, un proxy inverse renvoie simplement un code d'état HTTP 404, indiquant que l'URL demandée n'est pas disponible. ### Enchaînement des vulnérabilités des anciennes versions de Microsoft Office **Filename:** Accept_EULA.rtf **SHA256:** e4afb43a13e043d99ff0fb0a0ac49e96a04932ba37365527914d6be779597edf **MD5:** 71b0774691ab8192af8ed8e816a1f475 Ces hachages MD5 ne sont pas disponibles ailleurs, car le serveur procède par génération de charge active à la volée, produisant un fichier unique avec un hachage différent pour chaque requête. Pour faciliter l'analyse et la détection, **nous avons transféré tous les échantillons pertinents sur VirusTotal**. Le téléchargement de la charge active RTF nécessite un en-tête User-Agent valide, car le serveur filtre les requêtes. Les agents utilisateur suivants ont été confirmés comme fonctionnant correctement et ayant récupéré le fichier RTF : Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; MSOffice 12) Microsoft Office/16.0 (Windows NT 10.0; Microsoft Excel 16.0.4266; Pro) Le fichier RTF **exploite la vulnérabilité CVE-2017-11882**, une vulnérabilité de corruption de mémoire dans l'ancien éditeur d'équations. Il intègre un shellcode encodé sous forme de chaîne de caractères hexadécimaux, qui est exécuté lors de l'ouverture du document pour initialiser la phase suivante de l'attaque. ![Image 11: Objet incorporé (\objemb) qui est analysé et exécuté par le composant vulnérable Equation Editor.](https://staticfiles.acronis.com/images/content/b2825141565949fb3154df6b6875d32c.png) Objet incorporé (\objemb) qui est analysé et exécuté par le composant vulnérable Equation Editor. Si nous convertissons cette longue chaîne hexadécimale en binaire, nous pouvons déjà voir le lien de téléchargement de la phase suivante : ![Image 12: URL de la prochaine phase de la chaîne d'infection.](https://staticfiles.acronis.com/images/content/d834cc062340bad21d579dc9bd8a6196.png) URL de la prochaine phase de la chaîne d'infection. Le code binaire ci-dessus peut également être décompilé, car il contient des instructions processeur valides. Le shellcode proprement dit commence à l'instruction CWDE (Convert Word to Doubleword Extended) : ![Image 13: Les chaînes sont décodées ultérieurement, au moment de l'exécution, et uniquement si nécessaire.](https://staticfiles.acronis.com/images/content/fa862fa59a082f623ca31d9b80c55650.png) Les chaînes sont décodées ultérieurement, au moment de l'exécution, et uniquement si nécessaire. Le shellcode utilise des instructions 32 bits, car il cible le composant 32-bit EQNEDT32.EXE, le composant vulnérable de l'éditeur d'équations exploité via CVE-2017-11882. Une fois la pile initialisée, le shellcode commence à construire et à stocker des chaînes codées sur la pile directement, lesquelles seront décodées au moment de l'exécution, si nécessaire. Ces chaînes contiennent principalement des noms de fonctions d'API qui sont résolus dynamiquement lors de l'exécution. De plus, le shellcode implémente des techniques d'évasion de sandboxing, effectuant une série de vérifications pour déterminer s'il s'exécute dans un environnement virtualisé ou émulé. * Il vérifie la taille de la RAM en interrogeant l'API GlobalMemoryStatusEx. * Il recherche dotnetlogger32.dll simplement en appelant LoadLibraryA. Si les vérifications ci-dessus sont validées, le shellcode charge winhttp.dll et utilise ses fonctions exportées, telles que WinHttpOpen et WinHttpConnect, pour télécharger la phase suivante depuis _hxxps[://]advisory[.]army-govbd[.]info/ISPR/7201a146_. Le contenu téléchargé est encodé : ![Image 14: Charge active encodée, générée pour cette victime en particulier.](https://staticfiles.acronis.com/images/content/3f85462f33199103e8dce97d0f61f9eb.png) Charge active encodée, générée pour cette victime en particulier. La charge active ci-dessus est codée pour échapper à l'analyse statique et à la détection par les outils d'identification de signatures. L'encodage des chaînes critiques, des noms de fonctions et des URL sur la pile est une technique d'obfuscation courante pour les shellcodes. SideWinder a déjà procédé ainsi lors de précédentes campagnes. ![Image 15: Ces données sont décodées au moyen d'un XOR simple, avec la clé 0x28.](https://staticfiles.acronis.com/images/content/92197fdded1629218db3421c7484b29c.png) Ces données sont décodées au moyen d'un XOR simple, avec la clé 0x28. Après déchiffrement, nous accédons à la seconde partie du shellcode, qui contient essentiellement un chargeur PE et un fichier exécutable intégré : ![Image 16: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/a76c91cbafd14e1903cff40e18080474.png) Enfin, le shellcode modifie les protections de la mémoire du tampon décodé pour le rendre exécutable par VirtualProtect. Cette phase du shellcode recherche alors explorer.exe : ![Image 17: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/6bd01901dcd2ce48a090c2d2248b34ce.png) Une fois le processus trouvé, le shellcode injecte le fichier PE intégré dans le processus à l'aide d'appels d'API Windows standard, tels que VirtualAllocEx et CreateRemoteThread (ou NtCreateThreadEx). Cela marque le début de la phase 3, où la charge active est exécutée dans le contexte du processus distant. ### L'exfiltration commence **SHA256:** 61132f15775224f8aae02499b90b6bc19d4b3b44d987e0323276dceb260cc407 **MD5:** 648eb92f1125f0156880578cc64a53dd **Remarque :** comme les fichiers RTF, ces fichiers sont uniques et introuvables sur VirusTotal ou ailleurs. En examinant les symboles exportés, nous pouvons trouver le nom de fichier d'origine de ce fichier, qui est StealerBot.CppInstallerDocx.dll : ![Image 18: Fonction exportée dans le module StealerBot.](https://staticfiles.acronis.com/images/content/dcdfd575c85db1f119afdb5f53c186fd.png) Fonction exportée dans le module StealerBot. Il possède également une fonction exportée nommée **IceCream**. Cet échantillon peut être exécuté avec rundll32.exe sans aucun problème : Rundll32.exe StealerBot.CppInstallerDocx.dll IceCream Le code commence par une astuce bien connue, qui consiste à vérifier les notes de débogage TEB (Thread Environment Block) pour détecter si le programme est en cours de débogage : ![Image 19: Sous Windows 64 bits, le PEB (Process Environment Block) est accessible via le TEB à l'emplacement GS:[0x60] (semblable à FS:[0x30] sous Windows 32 bits).](https://staticfiles.acronis.com/images/content/7891128ab953a41591d9795f3cfbc2ef.png) Sous Windows 64 bits, le PEB (Process Environment Block) est accessible via le TEB à l'emplacement GS:[0x60] (semblable à FS:[0x30] sous Windows 32 bits). Les informations système de base sont alors collectées et envoyées à une URL codée en dur pour le serveur de commande et de contrôle (le même que celui à partir duquel les phases précédentes ont été téléchargées) : ![Image 20: Communication entre la victime et le serveur C2.](https://staticfiles.acronis.com/images/content/6503fef49618d70dea5219e7311e93b1.png) Communication entre la victime et le serveur C2. La valeur de données est une chaîne codée en base64, et elle contient les informations collectées, séparées par le mot « DEFENSTRATION » : StevenDEFENSTRATIONDESKTOP-IAKPONKDEFENSTRATION12th Gen Intel(R) Core(TM) i7-1260PDEFENSTRATION2DEFENSTRATIONDrive: C:\, Size: 59 GBDEFENSTRATION1023DEFENSTRATION134217727DEFENSTRATION00:0C:29:82:38:12DEFENSTRATION10.0 Build 19045DEFENSTRATION64-bitDEFENSTRATION En remplaçant le séparateur par un saut de ligne, nous pouvons mieux résumer les données envoyées au serveur de contrôle : ![Image 21: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/f69a1c307882ef9e01600c96d9ce34ab.png) L'analyse du code indique que des informations sont collectées sur les antivirus installés, mais elles ne figurent pas sur notre machine test. Ce type de menace tente de détecter les efforts d'analyse et de profilage des machines virtuelles visant à éviter l'injection d'une charge active malveillante. Or, si tout est conforme aux paramètres attendus, le serveur renvoie une réponse codée : BBMqTFZVVyo9NmFkNmRkMDphZHFkODQFEypMVlVXKj02YWQ2ZGQwOmFkcWQ4NwUcKkxWVVcqPTZ hZDZkZDA6YWRxZDg2I2g4BQoqTFZVVyo0ZzBjMjFkZAUKKkxWVVcqMzQyYzdmNWMFCipMVlVXKmNhZDc 0YDw2BQB1aml0BRxkYXNsdmp3fCtkd2h8KGJqc2dhK2xrY2oFAG1xcXUFFCBkdXVhZHFkIFlZQmR1bGYF A0JkdWxmBRRRZHVsUGtkcXFga2ErYH1gBQlyYXZmandgK2FpaQUKKkxWVVcqYTw2YzNkMT0F La réponse du serveur est obfusquée à l'aide de deux couches de codage : les données sont d'abord codées en base64, puis chiffrées en XOR à l'aide de la clé 0x05. Après décodage des deux couches, on obtient la réponse en texte clair du serveur : ![Image 22: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/861520ad1eff1a57cd266251e501cbc9.png) Analysons-la ligne par ligne : ![Image 23: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/b09a48b84c5b7755b23de56cce7bf5e1.png) Voici la disposition des fichiers téléchargés dans l’Explorateur : ![Image 24: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/d8e81d56854e71913666f61671195339.png) Un fichier LNK est également créé dans le dossier Démarrage de l'utilisateur (Start Menu\Programs\Startup\Gapic.lnk), qui pointe vers l'exécution de TapiUnattend.exe situé dans le répertoire APPDATA. L'objectif principal de ce programme d'installation de DLL est d'établir la persistance et de faciliter l'activation de la prochaine phase par chargement latéral de la DLL de wdscore.dll, en exploitant l'exécutable légitime et fiable TapiUnattend.exe. ### StealerBot distribué par chargement latéral de la DLL Nous arrivons enfin à la phase finale de cette longue chaîne d'intrusion. Voici les fichiers utilisés pour distribuer StealerBot, outil de vol d'informations et d'identifiants : Nom de fichier MD5 Description TapiUnattend.exe b574abf43dcc57a359129d1adb4cdda0 Exécutable légitime pour le chargement latéral de la DLL wdscore.dll b37522b69406b3f6229b7f3bbef0a293 Chargeur de DLL malveillante HBG6XFRE.JZS7 9e3aaa68e88a604a7aba9cf83b49de6e Charge active finale (StealerBot) IpHelper.dll 12a891501e271d32802495af88cfa247 Module d'assistanc L'exécution de TapiUnattend.exe déclenche le chargement de wdscore.dll, une DLL malveillante qui exécute deux fonctions principales : * Décodage du fichier embarqué HBG6XFRE.JZS7. * Initialisation du Common Language Runtime (CLR) et chargement du StealerBot .NET décodé. Une analyse par rétro-ingénierie de la routine de décodage dans wdscore.dll nous apprend que le fichier codé commence par une clé XOR de 15 octets, suivie de la charge active obfusquée. Cette clé sert à déchiffrer le reste du contenu en cours d'exécution, ce qui permet le chargement dynamique de StealerBot en mémoire. ![Image 25: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/b5768f6724501e3739389b6635f9475c.png) Grâce à ces informations, nous avons pu effectuer le vidage mémoire de l'échantillon de StealerBot non chiffré. **Filename:** StealerBot **SHA256:** c62e365a6a60e0db4c2afd497464accdb783c336b116a5bc7806a4c47b539cc5 **MD5:** 88af570ec4821aa762ed04f2549ad6c1 **Control Panel:**hxxps[://]ecility[.]xyz ## Victimologie La campagne fait référence à de nombreuses institutions gouvernementales et militaires du Bangladesh, du Pakistan et du Sri Lanka, mais on ignore si elles ont toutes été ciblées directement ou simplement usurpées pour renforcer la crédibilité des leurres de phishing. Cependant, le ciblage avéré de la Banque centrale du Sri Lanka et du bataillon de la 55e division de l'armée du Sri Lanka a été établi sur la base d'e-mails de phishing découverts sur VirusTotal et explicitement adressés à ces organisations. Les autres institutions, telles que les ministères des Finances, de la Défense et des Affaires étrangères, figurent bien dans le leurre, mais peut-être uniquement à des fins d'ingénierie sociale. Cette tactique sélective de ciblage et d'usurpation est cohérente avec l'approche historique de SideWinder dans la région. ![Image 26: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/497a0e528c1654163facc689efe01409.png) ![Image 27: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/1802f3efeb7f3b446773ae74e618f3bd.png) ## Conclusion SideWinder continue de prouver que les anciennes vulnérabilités ont la vie dure, rien qu'en exploitant efficacement CVE-2017-0199 et CVE-2017-11882 pour délivrer des charges actives complexes et multi-étapes dans le cadre d'attaques ciblées en Asie du Sud. Leur utilisation de la livraison géolocalisée, des chargeurs à base de shellcode, du chargement latéral de la DLL et de la rotation rapide de l'infrastructure C2 témoigne d'une maturité opérationnelle qui met à mal les méthodes de détection traditionnelles. À première vue, ce groupe de menaces semble s'appuyer sur d'anciens exploits bien corrigés. Cependant, une analyse plus approfondie de leurs tactiques, techniques et procédures (TTP) révèle un degré élevé de contrôle et de précision, garantissant que les charges actives malveillantes ne sont délivrées qu'à des cibles soigneusement sélectionnées, et souvent pour une durée limitée. L'exploitation de vulnérabilités anciennes combinée à des stratégies modernes d'évasion et de ciblage met en lumière la pertinence de SideWinder et sa capacité d'adaptation continue dans le paysage des menaces actuel. ## Détection par Acronis Cette menace a été détectée et bloquée par Acronis Cyber Platform (anciennement Acronis Cyber Protect Cloud) : ![Image 28: Des banques aux bataillons : les attaques de SideWinder contre le secteur public d’Asie du Su](https://staticfiles.acronis.com/images/content/12af2b690e275af110727a0fd62d349c.png) ## Recommandations générales d'atténuation * Désactivez les macros et le chargement de contenu externe dans Microsoft Office pour empêcher le téléchargement automatique de modèles distants. * Bloquez ou restreignez l'exécution de mshta.exe, wscript.exe et powershell.exe [s'ils](https://www.acronis.com/fr/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) ne sont pas nécessaires, car ils sont souvent utilisés pour la première phase d'exécution. * Déployez des règles de détection comportementale : o Processus enfant suspects créés par des applications MS Office. o Activité de shellcode en mémoire ou évidement de processus. * Appliquez un filtrage au niveau du réseau pour détecter et bloquer les communications avec des infrastructures C2 (commande et contrôle) connues. * Appliquez tous les correctifs de sécurité Microsoft Office, en particulier pour les vulnérabilités anciennes telles que CVE-2017-0199 et CVE-2017-11882. * Utilisez des solutions de détection et réponse sur les terminaux (EDR) pour suivre le chargement latéral anormal de DLL ou l'exécution à partir de répertoires inhabituels. * Sensibilisez les utilisateurs finaux aux tactiques de spear phishing, notamment aux risques liés à des documents apparemment officiels qui semblent provenir d'un gouvernement ou d'une organisation de défense. ## Indicateurs de compromission ### Documents (Triés par date de première apparition) **SHA256** [725ded50e7f517addd12f029aeaf9a23f2b9ce6239b98820c8a12ea5cb79dbfa](https://www.virustotal.com/gui/file/725ded50e7f517addd12f029aeaf9a23f2b9ce6239b98820c8a12ea5cb79dbfa) [57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d](https://www.virustotal.com/gui/file/57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d) [558de2a01fbd76be171561c3c82fd6a8e2d4c913444850af99d44a4cfb41b680](https://www.virustotal.com/gui/file/558de2a01fbd76be171561c3c82fd6a8e2d4c913444850af99d44a4cfb41b680) [f464ad5c6aba13b42aa903bda0add7c074d45388da379747c83f2c3756c9b658](https://www.virustotal.com/gui/file/f464ad5c6aba13b42aa903bda0add7c074d45388da379747c83f2c3756c9b658) [63f5445527c47e17b71e87eef4dd7a86883607a22830bcee5b1fabc5d03bab38](https://www.virustotal.com/gui/file/63f5445527c47e17b71e87eef4dd7a86883607a22830bcee5b1fabc5d03bab38) [65c9e15d9b916b193ce1d96bb99c1c1f3ade0273270b56cf6e476a21b31a3491](https://www.virustotal.com/gui/file/65c9e15d9b916b193ce1d96bb99c1c1f3ade0273270b56cf6e476a21b31a3491) [7363887b6b0fe7cece3c21ad18515835922379c7d78c47cea745940a1061a6c4](https://www.virustotal.com/gui/file/7363887b6b0fe7cece3c21ad18515835922379c7d78c47cea745940a1061a6c4) [40712a087a8280425f1b317e34e265c0329ffb0057be298d519fc5e0af6cb58f](https://www.virustotal.com/gui/file/40712a087a8280425f1b317e34e265c0329ffb0057be298d519fc5e0af6cb58f) [69eee36642f274c724fadcfdf1f103ae0fd9b5f4bad7ac6a33b3c627d6114426](https://www.virustotal.com/gui/file/69eee36642f274c724fadcfdf1f103ae0fd9b5f4bad7ac6a33b3c627d6114426) [2d92d24b3abed7acac165b002bd5922f8f17b6e4944e658938fe022902fe6a7e](https://www.virustotal.com/gui/file/2d92d24b3abed7acac165b002bd5922f8f17b6e4944e658938fe022902fe6a7e) [663a7b509db86ca498af57cc458139a76ee07c60d413d60a98921c7e901e0e3d](https://www.virustotal.com/gui/file/663a7b509db86ca498af57cc458139a76ee07c60d413d60a98921c7e901e0e3d) [5ec639facb2cb9503059d519790279f1b9f510d8d63a2a2c44637b1d1dd1e538](https://www.virustotal.com/gui/file/5ec639facb2cb9503059d519790279f1b9f510d8d63a2a2c44637b1d1dd1e538) [0a7fce4e7456ecb12c95d28b6b4d263d9ca23a1de1e298234a904a319be6e708](https://www.virustotal.com/gui/file/0a7fce4e7456ecb12c95d28b6b4d263d9ca23a1de1e298234a904a319be6e708) [00877fcfb31fdc23ca6987e569090f761ed414bdee0546bdbd3ce3acc44cc293](https://www.virustotal.com/gui/file/00877fcfb31fdc23ca6987e569090f761ed414bdee0546bdbd3ce3acc44cc293) [8d00c97d16e3733feee6b1bc6bd77b8423e0b79a812db55880f5b2d751a4bd47](https://www.virustotal.com/gui/file/8d00c97d16e3733feee6b1bc6bd77b8423e0b79a812db55880f5b2d751a4bd47) [dc7066d972367f15c9b6e2e36a5c643ab87deed958cc27ac0fbf0ff1f4535a99](https://www.virustotal.com/gui/file/dc7066d972367f15c9b6e2e36a5c643ab87deed958cc27ac0fbf0ff1f4535a99) [8dd189e390b168bff6caa82d5077f4eda8902c251fe0a0120aa42bd78e56f9bc](https://www.virustotal.com/gui/file/8dd189e390b168bff6caa82d5077f4eda8902c251fe0a0120aa42bd78e56f9bc) [46785f7e5cd2966d30167cbd496333a5dd871b19e6a2833ab1a4157fc35e8ee5](https://www.virustotal.com/gui/file/46785f7e5cd2966d30167cbd496333a5dd871b19e6a2833ab1a4157fc35e8ee5) [ac13697c19cf0b6767442fc001ca48d0d9e3c9340549d3e73539ea299e27015e](https://www.virustotal.com/gui/file/ac13697c19cf0b6767442fc001ca48d0d9e3c9340549d3e73539ea299e27015e) [32e2d29143f57335c6477dc764350fed13b7e3873fb06491d9863a95b8921e92](https://www.virustotal.com/gui/file/32e2d29143f57335c6477dc764350fed13b7e3873fb06491d9863a95b8921e92) [ffebc5f8fc3a0346f9767c64b5b040d7679e1d3726024e59fe134825e31c8b8c](https://www.virustotal.com/gui/file/ffebc5f8fc3a0346f9767c64b5b040d7679e1d3726024e59fe134825e31c8b8c) [208c335a3cccbdba6b1ec0c76ad3b751c6409712e493c24e2532a389d887e0af](https://www.virustotal.com/gui/file/208c335a3cccbdba6b1ec0c76ad3b751c6409712e493c24e2532a389d887e0af) [a90fd0e3d3be14b92b3dc809ddea9a0cc377b130ebb4c48a8891e4832a85c412](https://www.virustotal.com/gui/file/a90fd0e3d3be14b92b3dc809ddea9a0cc377b130ebb4c48a8891e4832a85c412) [fa5a3e215e4970b0c39b6bbfb9425aa6ee4a8bc1359d85f7052d99e663aee333](https://www.virustotal.com/gui/file/fa5a3e215e4970b0c39b6bbfb9425aa6ee4a8bc1359d85f7052d99e663aee333) [bb9acc2d23afee3265b81326ce65cfddde3fc04648d3ba2d2ea22ec0e3d8f90e](https://www.virustotal.com/gui/file/bb9acc2d23afee3265b81326ce65cfddde3fc04648d3ba2d2ea22ec0e3d8f90e) [5b5a1833d4daaf05699a009316a4d866851130b258f424f066b867a534ba944d](https://www.virustotal.com/gui/file/5b5a1833d4daaf05699a009316a4d866851130b258f424f066b867a534ba944d) [9b76d98c2641512c66e8f2f99b2d0bda86ec1a4809420b74feadfb8f4f7dbf48](https://www.virustotal.com/gui/file/9b76d98c2641512c66e8f2f99b2d0bda86ec1a4809420b74feadfb8f4f7dbf48) [fb4695b45ac62e10f29e9a45c4190dce2fe6af71a96a2bd66e08c1a99416cc7e](https://www.virustotal.com/gui/file/fb4695b45ac62e10f29e9a45c4190dce2fe6af71a96a2bd66e08c1a99416cc7e) [677b4d9efcfcae9cbbd39b2b2cdc0df69d4a55460814747f60f35ea2e81dad2e](https://www.virustotal.com/gui/file/677b4d9efcfcae9cbbd39b2b2cdc0df69d4a55460814747f60f35ea2e81dad2e) [2be8ca1e2415b5ca1605977b2ff10ff9aef06e3be7eb39496bb18d3ba7772901](https://www.virustotal.com/gui/file/2be8ca1e2415b5ca1605977b2ff10ff9aef06e3be7eb39496bb18d3ba7772901) [1c68ca3ede75946568bb00c39b7054cb2ae4fcbe2805061e38ed15f4d526262c](https://www.virustotal.com/gui/file/1c68ca3ede75946568bb00c39b7054cb2ae4fcbe2805061e38ed15f4d526262c) [9700f9b614aa87c6137c4325951e59258cdb87f02df7a5ed4f4accea279ede26](https://www.virustotal.com/gui/file/9700f9b614aa87c6137c4325951e59258cdb87f02df7a5ed4f4accea279ede26) [74111c9b0ed748fc6bfc025d13a2ed08663b988cb69c044f1c6f153f9020294c](https://www.virustotal.com/gui/file/74111c9b0ed748fc6bfc025d13a2ed08663b988cb69c044f1c6f153f9020294c) [a61335c10cf98064761806af6451b3cddd66641ccb35a6d8b915a02d6279f46a](https://www.virustotal.com/gui/file/a61335c10cf98064761806af6451b3cddd66641ccb35a6d8b915a02d6279f46a) [1527cf10f00c798262b3347c00af8028fee3bc88a450bc2df7766b1118c62cd5](https://www.virustotal.com/gui/file/1527cf10f00c798262b3347c00af8028fee3bc88a450bc2df7766b1118c62cd5) [5891f4dfa47d5b268c5d82366c312ecda715da91e148afa6064f3058f3c5a69b](https://www.virustotal.com/gui/file/5891f4dfa47d5b268c5d82366c312ecda715da91e148afa6064f3058f3c5a69b) [e33e74e3925bc3f287ef817a186807a38d411524984a5d0930939646022206b0](https://www.virustotal.com/gui/file/e33e74e3925bc3f287ef817a186807a38d411524984a5d0930939646022206b0) [1321fc1eefc3d3f5aae16a81ac139a31beaf2355935d94210abf69253d29b486](https://www.virustotal.com/gui/file/1321fc1eefc3d3f5aae16a81ac139a31beaf2355935d94210abf69253d29b486) [96d429d67a2663ef2cf3f45ccd0619adf0cd030f7fe70f072af1ce1d67ec52a3](https://www.virustotal.com/gui/file/96d429d67a2663ef2cf3f45ccd0619adf0cd030f7fe70f072af1ce1d67ec52a3) [22527dd1a62dc46dd4edd23a681657cf4c3477e9f90fb1ef63ef657608b9838c](https://www.virustotal.com/gui/file/22527dd1a62dc46dd4edd23a681657cf4c3477e9f90fb1ef63ef657608b9838c) [fb50c60c237ea00f29e4876b326f5f8e872f5ad6d1ca7c9925d9b901e573f788](https://www.virustotal.com/gui/file/fb50c60c237ea00f29e4876b326f5f8e872f5ad6d1ca7c9925d9b901e573f788) [de54f8933ff81f93652ab824e8f9e60197135e1064f0ca4ca99df833a7a94e9d](https://www.virustotal.com/gui/file/de54f8933ff81f93652ab824e8f9e60197135e1064f0ca4ca99df833a7a94e9d) [47d77499968244911d0179fb858578de00dbb98079e33f5ed5d229d03eb04d67](https://www.virustotal.com/gui/file/47d77499968244911d0179fb858578de00dbb98079e33f5ed5d229d03eb04d67) [ffd26019b21da5833caf2b6974cbc9ce79d911653cdfbb6e59a8ac7d4cc80f51](https://www.virustotal.com/gui/file/ffd26019b21da5833caf2b6974cbc9ce79d911653cdfbb6e59a8ac7d4cc80f51) [15cf5271c7b9b8ad22c4c96bc8674d9835e8d419fc1a6077f3b59fbd7e59d112](https://www.virustotal.com/gui/file/15cf5271c7b9b8ad22c4c96bc8674d9835e8d419fc1a6077f3b59fbd7e59d112) [54c4641f709e51622531dc3d04fd2f4a3bad2a42dca287e2777c04d59cbca789](https://www.virustotal.com/gui/file/54c4641f709e51622531dc3d04fd2f4a3bad2a42dca287e2777c04d59cbca789) [d3fb61c0211bd379bf80f15cf072fdbc1187fe95546fdfcfcbdf8918004f05e2](https://www.virustotal.com/gui/file/d3fb61c0211bd379bf80f15cf072fdbc1187fe95546fdfcfcbdf8918004f05e2) [35cc327806ae0d760b94a5b3daedea9cdcb2ed0854a484c8ec3cded195e75037](https://www.virustotal.com/gui/file/35cc327806ae0d760b94a5b3daedea9cdcb2ed0854a484c8ec3cded195e75037) [896ddb35cde29b51ec5cf0da0197605d5fd754c1f9f45e97d40cd287fb5a2d25](https://www.virustotal.com/gui/file/896ddb35cde29b51ec5cf0da0197605d5fd754c1f9f45e97d40cd287fb5a2d25) ### Domaines (Triés par date d'inscription) Domaine Date d'inscription army-govbd[.]info 8 avril 2025 updates-installer[.]store 4 avril 2025 dwnlld[.]com 26 mars 2025 bismi[.]pro 19 février 2025 viewdoc[.]online 10 février 2025 dwnlld[.]info 10 février 2025 net-co[.]info 1er février 2025 milqq[.]info 30 janvier 2025 vpdf[.]online 20 janvier 2025 org-co[.]net 20 janvier 2025 nic-svc[.]net 17 janvier 2025 live-co[.]org 17 janvier 2025 org-liv[.]net 16 janvier 2025 net-src[.]info 16 janvier 2025 info-lanka[.]org 26 décembre 2024 onlinestatus[.]live 12 décembre 2024 modpak[.]live 24 septembre 2024 mail163[.]info 5 août 2024 ### URL (Triées par date de dernière mise à jour) URL Dernière mise à jour : advisory[.]army-govbd[.]info 8 avril 2025 geninstr[.]army-govbd[.]info 8 avril 2025 advisary[.]army-govbd[.]info 8 avril 2025 amended[.]army-govbd[.]info 8 avril 2025 mail[.]army-govbd[.]info 8 avril 2025 emv1[.]army-govbd[.]info 8 avril 2025 www[.]army-govbd[.]info 8 avril 2025 pimec-paknavy[.]updates-installer[.]store 4 avril 2025 hisidewinderSideWinder[.]pimec-paknavy[.]updates-installer[.]store 4 avril 2025 imec-paknavy[.]updates-installer[.]store 4 avril 2025 www-presidentsoffice-gov-lk[.]dwnlld[.]com 26 mars 2025 www-cbsl-gov-lk[.]dwnlld[.]com 26 mars 2025 email[.]sco[.]gov[.]pk[.]viewdoc[.]online 19 février 2025 mod-gov-bd[.]dwnlld[.]info 10 février 2025 moitt-gov-pk[.]dwnlld[.]info 10 février 2025 mfa-gov-lk[.]dwnlld[.]info 10 février 2025 www-cbsl-gov-lk[.]dwnlld[.]info 10 février 2025 prison-gov-bd[.]dwnlld[.]info 10 février 2025 bscic-gov-bd[.]dwnlld[.]info 10 février 2025 cabinet-gov-bd[.]dwnlld[.]info 10 février 2025 fa-gov-lk[.]dwnlld[.]info 10 février 2025 infomfa-gov-lk[.]dwnlld[.]info 10 février 2025 mofa-gov-bd[.]dwnlld[.]info 10 février 2025 www-cbsl-gov-lk[.]dwnlld[.]infomfa-gov-lk[.]dwnlld[.]info 10 février 2025 www-erd-gov-lk[.]dwnlld[.]info 10 février 2025 xcfhg[.]dwnlld[.]info 10 février 2025 mof-gov-np[.]dwnlld[.]info 10 février 2025 6441056b613c32a9[.]dwnlld[.]info 10 février 2025 www[.]dwnlld[.]info 10 février 2025 dwnlld[.]infomfa-gov-lk[.]dwnlld[.]info 10 février 2025 www-customs-gov-lk[.]net-co[.]info 10 février 2025 customs-gov-lk[.]net-co[.]info 10 février 2025 postmaster[.]net-co[.]info 10 février 2025 www[.]customs-gov-lk[.]net-co[.]info 10 février 2025 jtops[.]milqq[.]info 1er février 2025 dirsports[.]milqq[.]info 1er février 2025 mail[.]ntc[.]net[.]pk[.]vpdf[.]online 30 janvier 2025 pubad-gov-lk[.]org-co[.]net 20 janvier 2025 a5936441-e402-41e3-b02b-75af112074b5[.]org-co[.]net 20 janvier 2025 esxipubad-gov-lk[.]org-co[.]net 20 janvier 2025 mof-gov-bd[.]nic-svc[.]net 20 janvier 2025 lolsidewinderSideWinder[.]nic-svc[.]net 20 janvier 2025 wwww[.]nic-svc[.]net 20 janvier 2025 www-erd-gov-lk[.]nic-svc[.]net 20 janvier 2025 cabinet-gov-bd[.]nic-svc[.]net 20 janvier 2025 wwww[.]www-erd-gov-lk[.]nic-svc[.]net 20 janvier 2025 emrd-gov-bd[.]nic-svc[.]net 20 janvier 2025 www-treasury-gov-lk[.]nic-svc[.]net 20 janvier 2025 wwww-erd-gov-lk[.]nic-svc[.]net 20 janvier 2025 www[.]treasury-gov-lk[.]nic-svc[.]net 20 janvier 2025 treasury-gov-lk[.]nic-svc[.]net 20 janvier 2025 mail-mofa-gov[.]org-liv[.]net 17 janvier 2025 pubad-gov-lk[.]org-liv[.]net 17 janvier 2025 cabinet-gov-bd[.]org-liv[.]net 17 janvier 2025 cirt-gov-bd[.]org-liv[.]net 17 janvier 2025 gov-lk[.]org-liv[.]net 17 janvier 2025 mod-gov-bd[.]org-liv[.]net 17 janvier 2025 www-treasury-gov-lk[.]org-liv[.]net 17 janvier 2025 pubad-gov-lk[.]live-co[.]org 17 janvier 2025 mofa-gov-bd[.]live-co[.]org 17 janvier 2025 mod-gov-bd[.]live-co[.]org 17 janvier 2025 data-sob-gov-bd[.]live-co[.]org 17 janvier 2025 7ef1996f-c463-4540-936a-70d0fd477f98[.]live-co[.]org 17 janvier 2025 mofa-gov-np[.]live-co[.]org 17 janvier 2025 mofa-gov-np[.]org-liv[.]net 17 janvier 2025 pubad-gov-lk[.]net-src[.]info 16 janvier 2025 probashi-gov-bd[.]net-src[.]info 16 janvier 2025 mofa-gov-np[.]net-src[.]info 16 janvier 2025 modltr[.]info-lanka[.]org 16 janvier 2025 www[.]info-lanka[.]org 16 janvier 2025 mail[.]nepla[.]gov[.]np[.]onlinestatus[.]live 26 décembre 2024 mail[.]ntc[.]net[.]pk[.]onlinestatus[.]live 26 décembre 2024 mail[.]paf[.]gov[.]pk[.]onlinestatus[.]live 26 décembre 2024 mail[.]pof[.]gov[.]pk[.]onlinestatus[.]live 26 décembre 2024 paknavy[.]modpak[.]live 12 décembre 2024 interior-gov-pk[.]mail-govt[.]org 24 septembre 2024 www-cabinetoffice-gov-lk[.]mail-govt[.]org 24 septembre 2024 probashi-gov-bd[.]mail-govt[.]org 24 septembre 2024 gso2[.]mail163[.]info 5 août 2024 **RÈGLE DE RECHERCHE YARA (VIRUSTOTAL)** import "vt" rule hunting_cve_maldocs { meta: author = "Acronis Threat Research Unit (TRU)" description = "Hunting for malicious Word/RTF files exploiting CVE-2017-0199 or CVE-2017-11882 from specific countries" distribution = "TLP:WHITE" version = "1.2" last_modified = "2025-05-13" condition: // Match if the file has CVE-2017-0199 or CVE-2017-11882 in the tags for any tag in vt.metadata.tags : ( tag == "cve-2017-0199" or tag == "cve-2017-11882" ) // Is the submitter from a specific country? and ( vt.metadata.submitter.country == "PK" or vt.metadata.submitter.country == "LK" or vt.metadata.submitter.country == "BD" or vt.metadata.submitter.country == "NP" or vt.metadata.submitter.country == "MM" or vt.metadata.submitter.country == "MV" or vt.metadata.submitter.country == "AF" or vt.metadata.submitter.country == "CN" ) // Is it a DOC, DOCX, or RTF? and ( vt.metadata.file_type == vt.FileType.DOC or vt.metadata.file_type == vt.FileType.DOCX or vt.metadata.file_type == vt.FileType.RTF ) and vt.metadata.new_file } [1] [SideWinder cible les secteurs maritime et nucléaire avec un ensemble d'outils mis à jour – Kaspersky - mars 2025.](https://securelist.com/sidewinder-apt-updates-its-toolset-and-targets-nuclear-sector/115847/) [2] [SideWinder utilise une nouvelle infrastructure pour cibler les ports et les installations maritimes en Méditerranée – BlackBerry - juillet 2024.](https://blogs.blackberry.com/en/2024/07/sidewinder-targets-ports-and-maritime-facilities-in-the-mediterranean-sea) [3] [SideWinder utilise un polymorphisme côté serveur pour attaquer des officiels du gouvernement pakistanais — et cible désormais la Turquie – BlackBerry - mai 2023.](https://blogs.blackberry.com/en/2023/05/sidewinder-uses-server-side-polymorphism-to-target-pakistan) Articles connexes [Actualités Acronis sur les cybermenaces – Juillet 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-july-2026/) [Rapport Acronis sur les cybermenaces – Juin 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-june-2026/) [Rapport Acronis sur les cybermenaces – Mai 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-may-2026/) [Rapport Acronis sur les cybermenaces – Avril 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-april-2026/)