Un ensemble de nouvelles m\u00e9thodes d’attaque ont \u00e9t\u00e9 d\u00e9montr\u00e9es contre Google Workspace et Google Cloud Platform qui pourraient \u00eatre potentiellement exploit\u00e9es par les acteurs malveillants pour mener des attaques de ransomware, d’exfiltration de donn\u00e9es et de r\u00e9cup\u00e9ration de mots de passe.<\/p>\n
\u00ab\u00a0En partant d’une seule machine compromise, les acteurs malveillants pourraient progresser de plusieurs mani\u00e8res\u00a0: ils pourraient se d\u00e9placer vers d’autres machines clon\u00e9es avec GCPW<\/a> install\u00e9s, acc\u00e9dez \u00e0 la plate-forme cloud avec des autorisations personnalis\u00e9es ou d\u00e9chiffrez les mots de passe stock\u00e9s localement pour poursuivre leur attaque au-del\u00e0 de l’\u00e9cosyst\u00e8me Google”, Martin Zugec, directeur des solutions techniques chez Bitdefender, dit<\/a> dans un nouveau rapport.<\/p>\n La condition pr\u00e9alable \u00e0 ces attaques est que l’acteur malveillant ait d\u00e9j\u00e0 acc\u00e9d\u00e9 \u00e0 une machine locale par d’autres moyens, ce qui incite Google \u00e0 marquer le bug comme non \u00e9ligible \u00e0 la correction<\/a> “puisque cela ne rel\u00e8ve pas de notre mod\u00e8le de menace et que le comportement est conforme aux pratiques de Chrome en mati\u00e8re de stockage de donn\u00e9es locales.”<\/p>\n Cependant, la soci\u00e9t\u00e9 roumaine de cybers\u00e9curit\u00e9 a averti que les acteurs malveillants pourraient exploiter ces failles pour \u00e9tendre la compromission d\u2019un seul point de terminaison \u00e0 une violation \u00e0 l\u2019\u00e9chelle du r\u00e9seau.<\/p>\n En r\u00e9sum\u00e9, les attaques reposent sur l’utilisation par une organisation du fournisseur d’informations d’identification Google pour Windows (GCPW), qui offre \u00e0 la fois la gestion des appareils mobiles (MDM<\/a>) et l’authentification unique (SSO<\/a>) capacit\u00e9s.<\/p>\n Cela permet aux administrateurs de g\u00e9rer et de contr\u00f4ler \u00e0 distance les appareils Windows dans leurs environnements Google Workspace, ainsi qu’aux utilisateurs d’acc\u00e9der \u00e0 leurs appareils Windows en utilisant les m\u00eames informations d’identification que celles utilis\u00e9es pour se connecter \u00e0 leurs comptes Google.<\/p>\n GCPW est con\u00e7u pour utiliser un compte de service privil\u00e9gi\u00e9 local nomm\u00e9 Administration des comptes et identifiants Google (Ga\u00efa<\/a>) pour faciliter de mani\u00e8re transparente le processus en arri\u00e8re-plan en se connectant aux API Google pour v\u00e9rifier les informations d’identification d’un utilisateur lors de l’\u00e9tape de connexion et en stockant un jeton d’actualisation pour \u00e9viter le besoin de r\u00e9-authentification.<\/p>\n Avec cette configuration en place, un attaquant ayant acc\u00e8s \u00e0 une machine compromise peut extraire les jetons OAuth d’actualisation d’un compte, soit \u00e0 partir du registre Windows, soit \u00e0 partir du r\u00e9pertoire de profil Chrome de l’utilisateur, et contourner les protections d’authentification multifacteur (MFA).<\/p>\n Le jeton d’actualisation est ensuite utilis\u00e9 pour cr\u00e9er une requ\u00eate HTTP POST vers le point de terminaison “https:\/\/www.googleapis[.]com\/oauth2\/v4\/token” pour obtenir un jeton d’acc\u00e8s, qui, \u00e0 son tour, peut \u00eatre utilis\u00e9 de mani\u00e8re abusive pour r\u00e9cup\u00e9rer, manipuler ou supprimer des donn\u00e9es sensibles associ\u00e9es au compte Google.<\/p>\n Un deuxi\u00e8me exploit concerne ce qu’on appelle le mouvement lat\u00e9ral Golden Image, qui se concentre sur les d\u00e9ploiements de machines virtuelles (VM) et profite du fait que la cr\u00e9ation d’une machine en clonant une autre machine avec GCPW pr\u00e9install\u00e9 entra\u00eene la perte du mot de passe associ\u00e9 au compte GAIA. clon\u00e9 \u00e9galement.<\/p>\n “Si vous connaissez le mot de passe d’un compte local et que les comptes locaux sur toutes les machines partagent le m\u00eame mot de passe, alors vous connaissez les mots de passe de toutes les machines”, a expliqu\u00e9 Zugec.<\/p>\n “Ce d\u00e9fi de mot de passe partag\u00e9 est similaire au fait d’avoir le m\u00eame mot de passe d’administrateur local sur toutes les machines qui a \u00e9t\u00e9 r\u00e9solu par la solution de mot de passe d’administrateur local de Microsoft (TOURS<\/a>).”<\/p>\n La troisi\u00e8me attaque implique l’acc\u00e8s aux informations d’identification en texte clair en exploitant le jeton d’acc\u00e8s acquis \u00e0 l’aide de la technique susmentionn\u00e9e pour envoyer une requ\u00eate HTTP GET \u00e0 un point de terminaison d’API non document\u00e9 et obtenir la cl\u00e9 RSA priv\u00e9e requise pour d\u00e9chiffrer le champ de mot de passe.<\/p>\n “Avoir acc\u00e8s aux informations d’identification en clair, telles que les noms d’utilisateur et les mots de passe, repr\u00e9sente une menace plus grave”, a d\u00e9clar\u00e9 Zugec. “En effet, cela permet aux attaquants de usurper directement l’identit\u00e9 d’utilisateurs l\u00e9gitimes et d’obtenir un acc\u00e8s illimit\u00e9 \u00e0 leurs comptes, ce qui pourrait conduire \u00e0 un piratage complet du compte.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Les-pirates-pourraient-exploiter-Google-Workspace-et-Cloud-Platform-pour.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n