SoftEther VPN

🔍 Contexte Article publié le 20 septembre 2026 sur le blog Synaptic Systems par Robin Dost. Il s’agit d’une mise à jour d’analyses antérieures (Nick Roy, janvier 2025) portant sur Hangro, le VPN et client mail d’État nord-coréen, utilisé par les représentants commerciaux nord-coréens à l’étranger (notamment en Chine). 🛠️ Produit analysé : Hangro Hangro est un client VPN dérivé de SoftEther (hardware ID NeoAdapter_VPN non modifié), embarquant également un client mail (Postfix/Dovecot) et un système de chat en temps réel. Il est distribué via le consulat nord-coréen à Shenyang à 350 USD par poste. Le titre de fenêtre est HangroVPN - 안개 (brouillard). ...

Source et contexte: Cisco Talos Blog publie une analyse d’« UAT-7237 », un groupe APT sinophone actif depuis au moins 2022 et présentant de fortes similitudes avec « UAT-5918 ». L’équipe décrit une intrusion récente contre un fournisseur d’hébergement web à Taïwan, avec un fort objectif de persistance à long terme et un outillage majoritairement open source, personnalisé pour l’évasion. Principales tactiques et objectifs 🎯: Le groupe obtient l’accès initial en exploitant des vulnérabilités connues sur des serveurs exposés, effectue une reconnaissance rapide (nslookup, systeminfo, ping, ipconfig) et s’appuie sur des LOLBins et des outils WMI (SharpWMI, WMICmd) pour l’exécution distante et la prolifération. La persistance et l’accès se font surtout via SoftEther VPN et RDP, avec un déploiement de web shells très sélectif. UAT-7237 privilégie Cobalt Strike comme implant, au contraire de UAT-5918 qui use surtout de Meterpreter et multiplie les web shells. L’acteur cible notamment les accès VPN et l’infrastructure cloud de la victime. ...