Un acteur menaçant aurait « très probablement » exploité une faille de sécurité dans un serveur Atlassian Confluence obsolète pour déployer une porte dérobée inédite contre une organisation anonyme du secteur de la recherche et des services techniques.
L’attaque, qui s’est déroulée sur une période de sept jours à la fin du mois de mai, a été attribuée à un cluster d’activités de menace suivi par la société de cybersécurité Deepwatch comme TAC-040.
« Les preuves indiquent que l’auteur de la menace a exécuté des commandes malveillantes avec un processus parent de tomcat9.exe dans le répertoire Confluence d’Atlassian », a déclaré la société. a dit. « Après la compromission initiale, l’auteur de la menace a exécuté diverses commandes pour énumérer le système local, le réseau et l’environnement Active Directory. »
La vulnérabilité Atlassian soupçonnée d’avoir été exploitée est CVE-2022-26134, une faille d’injection OGNL (Object-Graph Navigation Language) qui ouvre la voie à l’exécution de code arbitraire sur une instance Confluence Server ou Data Center.
Suite à des rapports d’exploitation active dans des attaques réelles, le problème a été résolu par la société australienne le 4 juin 2022.
Mais étant donné l’absence d’artefacts médico-légaux, Deepwatch a émis l’hypothèse que la violation aurait pu impliquer l’exploitation de la vulnérabilité Spring4Shell (CVE-2022-22965) pour obtenir un accès initial à l’application Web Confluence.
On ne sait pas grand-chose sur TAC-040 autre que le fait que les objectifs du collectif contradictoire pourraient être liés à l’espionnage, bien que la possibilité que le groupe ait pu agir par gain financier n’ait pas été exclue, citant la présence d’un chargeur pour un crypto-mineur XMRig sur le système.
Bien qu’il n’y ait aucune preuve que le mineur ait été exécuté lors de cet incident, l’adresse Monero détenue par les acteurs de la menace a rapporté au moins 652 XMR (106 000 $) en détournant les ressources informatiques d’autres systèmes pour exploiter illicitement la crypto-monnaie.
La chaîne d’attaque est également remarquable pour le déploiement d’un implant auparavant non documenté appelé Ljl Backdoor sur le serveur compromis. On estime qu’environ 700 Mo de données archivées ont été exfiltrées avant que le serveur ne soit mis hors ligne par la victime, selon une analyse des journaux du réseau.
Le malware, pour sa part, est un virus cheval de Troie complet conçu pour collecter des fichiers et des comptes d’utilisateurs, charger des charges utiles .NET arbitraires et amasser des informations système ainsi que l’emplacement géographique de la victime.
« La victime a refusé à l’acteur de la menace la possibilité de se déplacer latéralement dans l’environnement en mettant le serveur hors ligne, empêchant potentiellement l’exfiltration de données sensibles supplémentaires et limitant la capacité de l’acteur de la menace à mener d’autres activités malveillantes. »