PlugX
PlugX est un cheval de Troie d'accès à distance (RAT) modulaire et sophistiqué, utilisé depuis plus d'une décennie dans des attaques ciblées, principalement par des groupes APT liés à la Chine, et qui permet aux attaquants de prendre le contrôle total d'un système infecté tout en échappant à la détection.
PlugX est connu pour sa conception modulaire, ce qui lui permet d'être facilement personnalisé et adapté à différents scénarios d'attaque. Il a été lié à des groupes APT, notamment ceux opposés à la Chine.
En mars 2023, Sophos a publié un billet de blog mettant en évidence un variant de PlugX avec des capacités de ver. Sur la base de cette recherche, l'équipe CTI de Sekoia.io a décidé d'acquérir l'adresse IP unique liée à un variant de ce ver, avec un objectif clair : créer un sinkhole pour collecter des données de télémétrie des postes de travail infectés.
En étudiant la cryptographie des communications de PlugX, l'équipe a découvert qu'il était possible d'envoyer des commandes de nettoyage aux postes de travail compromis.
