https://cyberveille.ch/tags/twill-typhoon/ Recent content in Twill Typhoon on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 19 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-19-campagne-apt-chinoise-twill-typhoon-deploie-le-backdoor-fdmtp-v3-2-5-via-dll-sideloading/ Tue, 19 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-19-campagne-apt-chinoise-twill-typhoon-deploie-le-backdoor-fdmtp-v3-2-5-via-dll-sideloading/ <h2 id="-contexte">🌐 Contexte</h2> <p>Darktrace a publié le 14 mai 2026 une analyse technique détaillée d&rsquo;une campagne d&rsquo;intrusion attribuée avec <strong>confiance modérée</strong> à <strong>Twill Typhoon</strong>, un acteur de menace à nexus chinois. La campagne cible principalement des environnements clients dans la région <strong>Asie-Pacifique &amp; Japon (APJ)</strong>, avec une activité observée depuis <strong>fin septembre 2025</strong> jusqu&rsquo;en <strong>avril 2026</strong>.</p> <h2 id="-vecteurs-et-méthodes-dattaque">🎯 Vecteurs et méthodes d&rsquo;attaque</h2> <p>La chaîne d&rsquo;infection repose sur plusieurs techniques combinées :</p> <ul> <li><strong>Usurpation de CDN</strong> : les hôtes compromis émettent des requêtes HTTP GET vers des domaines imitant Yahoo et Apple (ex: <code>yahoo-cdn.it.com</code>)</li> <li><strong>DLL sideloading</strong> : un binaire légitime (ex: <code>biz_render.exe</code> de Sogou Pinyin IME) charge une DLL malveillante (<code>browser_host.dll</code>) portant le même nom que la DLL légitime attendue</li> <li><strong>AppDomain hijacking via ClickOnce</strong> : <code>dfsvc.exe</code> (moteur ClickOnce Windows) est utilisé avec un fichier <code>.config</code> malveillant pour forcer le chargement de <code>dnscfg.dll</code></li> <li><strong>Exécution en mémoire</strong> : le loader utilise le CLR Windows pour exécuter des assemblies .NET directement en mémoire</li> </ul> <h2 id="-payload-principal--fdmtp-v325">🔧 Payload principal : FDMTP v3.2.5</h2> <p>Le payload central est <strong><code>dnscfg.dll</code></strong> (alias <code>Client.TcpDmtp.dll</code>), identifié comme une <strong>version mise à jour (3.2.5) du backdoor FDMTP</strong>. Il s&rsquo;agit d&rsquo;un RAT .NET modulaire fortement obfusqué qui :</p>