L’acteur malveillant connu sous le nom de Lace Tempest a \u00e9t\u00e9 li\u00e9 \u00e0 l’exploitation d’une faille zero-day dans le logiciel de support informatique SysAid lors d’attaques limit\u00e9es, selon de nouvelles d\u00e9couvertes de Microsoft.<\/p>\n
Lace Tempest, connu pour distribuer le ransomware Cl0p, a dans le pass\u00e9 exploit\u00e9 des failles zero-day dans les serveurs MOVEit Transfer et PaperCut.<\/p>\n
Le probl\u00e8me, suivi comme CVE-2023-47246<\/strong>, concerne une faille de travers\u00e9e de chemin qui pourrait entra\u00eener l’ex\u00e9cution de code au sein d’installations sur site. Il a \u00e9t\u00e9 corrig\u00e9 par SysAid dans la version 23.3.36 du logiciel.<\/p>\n “Apr\u00e8s avoir exploit\u00e9 la vuln\u00e9rabilit\u00e9, Lace Tempest a \u00e9mis des commandes via le logiciel SysAid pour fournir un chargeur de malware pour le malware Gracewire”, Microsoft dit<\/a>.<\/p>\n “Cela est g\u00e9n\u00e9ralement suivi d’activit\u00e9s humaines, notamment de mouvements lat\u00e9raux, de vols de donn\u00e9es et de d\u00e9ploiement de ransomwares.”<\/p>\n Selon SysAid, l’auteur de la menace a \u00e9t\u00e9 observ\u00e9<\/a> t\u00e9l\u00e9charger une archive WAR contenant un shell Web et d’autres charges utiles dans la racine Web du service Web SysAid Tomcat.<\/p>\n Le shell Web, en plus de fournir \u00e0 l’acteur malveillant un acc\u00e8s par porte d\u00e9rob\u00e9e \u00e0 l’h\u00f4te compromis, est utilis\u00e9 pour fournir un script PowerShell con\u00e7u pour ex\u00e9cuter un chargeur qui, \u00e0 son tour, charge Gracewire.<\/p>\n Les attaquants ont \u00e9galement d\u00e9ploy\u00e9 un deuxi\u00e8me script PowerShell qui est utilis\u00e9 pour effacer les preuves de l’exploitation apr\u00e8s le d\u00e9ploiement des charges utiles malveillantes. <\/p>\n De plus, les cha\u00eenes d’attaque se caract\u00e9risent par l’utilisation du Agent MeshCentral<\/a> ainsi que PowerShell pour t\u00e9l\u00e9charger et ex\u00e9cuter Cobalt Strike, un framework de post-exploitation l\u00e9gitime.<\/p>\n Il est fortement recommand\u00e9 aux organisations qui utilisent SysAid d’appliquer les correctifs d\u00e8s que possible pour contrecarrer les attaques potentielles de ransomware et d’analyser leurs environnements \u00e0 la recherche de signes d’exploitation avant d’appliquer les correctifs.<\/p>\n Cette \u00e9volution intervient alors que le Federal Bureau of Investigation (FBI) des \u00c9tats-Unis a averti que les attaquants de ransomware ciblent les fournisseurs tiers et les outils syst\u00e8me l\u00e9gitimes pour compromettre les entreprises.<\/p>\n “En juin 2023, le Silent Ransom Group (SRG), \u00e9galement appel\u00e9 Luna Moth, a men\u00e9 des attaques de vol de donn\u00e9es et d’extorsion de donn\u00e9es par rappel en envoyant aux victimes un num\u00e9ro de t\u00e9l\u00e9phone dans le cadre d’une tentative de phishing, g\u00e9n\u00e9ralement li\u00e9e \u00e0 des accusations en cours sur le compte des victimes.” FBI dit<\/a>.<\/p>\n Si une victime tombait dans le pi\u00e8ge de la ruse et appelait le num\u00e9ro de t\u00e9l\u00e9phone fourni, les acteurs malveillants lui demandaient d’installer un outil de gestion de syst\u00e8me l\u00e9gitime via un lien fourni dans un e-mail de suivi.<\/p>\n Les attaquants ont ensuite utilis\u00e9 l’outil de gestion pour installer d’autres logiciels authentiques pouvant \u00eatre r\u00e9utilis\u00e9s \u00e0 des fins malveillantes, a not\u00e9 l’agence, ajoutant que les acteurs avaient compromis des fichiers locaux et des lecteurs r\u00e9seau partag\u00e9s, exfiltr\u00e9 les donn\u00e9es des victimes et extorqu\u00e9 les entreprises.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Alerte-Zero-Day-Lace-Tempest-exploite-la-vulnerabilite-du-logiciel.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n